(57)【要約】本願はユーザ側装置に適用され、サービスアカウントアイデンティティを含む登録情報要求パケットをサービスサーバへ送信して、仮想アカウントアイデンティティを含む登録情報応答パケットを認証サーバから受信するステップと；ユーザのバイオメトリックデータがローカルアイデンティティ検証をパスした後、デバイスアイデンティティ、仮想アカウントアイデンティティ、及び、バイオメトリック特徴トークンと、ローカルアイデンティティ検証をパスしたバイオメトリックデータに対応するバイオメトリック検証タイプ、及び、生成されたサービス公開鍵を、登録要求パケットにカプセル化し、転送される登録要求パケットがデバイス公開鍵を用いた署名検証をパスした後、アイデンティティ認証を実行するため、認証サーバがデバイスアイデンティティと、仮想アカウントアイデンティティと、バイオメトリック特徴トークンと、バイオメトリック検証タイプと、サービス公開鍵との対応を格納するよう、デバイス秘密鍵を用いて登録要求パケットが署名された後、登録要求パケットをサービスサーバへ送信するステップと；を含むバイオメトリックアイデンティティを登録する方法を提供する。本願における技術的解決策は、登録及び認証工程におけるセキュリティを向上させる。
2019510444.tif 000002
【特許請求の範囲】
【請求項１】
ユーザ側装置に適用されるバイオメトリックアイデンティティを登録する方法であって、前記ユーザ側装置上で、サービスクライアント、バイオメトリック認証ミドルウェア、バイオメトリック認証クライアント、アイデンティティ認証検出器、及びトークン・キーマネージャが作動し：
デバイス情報要求を、前記バイオメトリック認証ミドルウェアへ、前記サービスクライアントにより送信し、前記デバイス情報要求を、前記バイオメトリック認証クライアントへ、前記バイオメトリック認証ミドルウェアにより転送し、前記デバイス情報要求を、前記アイデンティティ認証検出器へ、前記バイオメトリック認証クライアントにより転送し、デバイスアイデンティティを含む前記ユーザ側装置のデバイス情報を、前記アイデンティティ認証検出器により取得して、前記デバイス情報を含むデバイス情報応答を、前記バイオメトリック認証クライアントへ返信し、前記デバイス情報応答を、前記バイオメトリック認証ミドルウェアへ、前記バイオメトリック認証クライアントにより返信し、及び、前記デバイス情報応答を、前記サービスクライアントへ、前記バイオメトリック認証ミドルウェアにより返信するステップと；
サービスアカウントアイデンティティを含む登録情報要求パケットを、サービスサーバへ、前記サービスクライアントにより送信し、前記サービスサーバによって返信される登録情報応答パケットを受信し、ここで、前記登録情報応答パケットは、認証サーバによってサーバ秘密鍵を用いて署名され、次いで前記サービスサーバへ送信され、前記サーバ秘密鍵に対応するサーバ公開鍵と、前記サービスアカウントアイデンティティに対応する、前記サービスサーバによって転送される前記登録情報要求パケットを受信した後で前記認証サーバによって生成される仮想アカウントアイデンティティとを含む、ステップと；
ユーザのバイオメトリック認証タイプを、前記サービスクライアントにより特定し、前記バイオメトリック認証タイプの前記ユーザのバイオメトリックデータを取得して、前記バイオメトリックデータを含むローカルバイオメトリック認証要求を前記バイオメトリック認証ミドルウェアへ送信し；前記ローカルバイオメトリック認証要求を、前記バイオメトリック認証クライアントへ、前記バイオメトリック認証ミドルウェアにより転送し；前記バイオメトリックデータを用いて前記ユーザアイデンティティに対してバイオメトリック特徴検証を、前記バイオメトリック認証クライアントにより実行して、検証結果を含むローカルバイオメトリック認証応答を前記バイオメトリック認証ミドルウェアへ返信し；及び、前記ローカルバイオメトリック認証応答を、前記サービスクライアントへ、前記バイオメトリック認証ミドルウェアにより返信するステップと；
前記ローカルバイオメトリック特徴検証結果が成功である場合、前記登録情報応答パケットを、前記バイオメトリック認証ミドルウェアへ、前記サービスクライアントにより送信し、前記登録情報応答パケットを、前記バイオメトリック認証クライアントへ、前記バイオメトリック認証ミドルウェアにより転送し；前記登録情報応答パケットを、前記アイデンティティ認証検出器へ、前記バイオメトリック認証クライアントにより転送し；及び、前記サーバ公開鍵を用いて前記登録情報応答パケットに対して署名検証を、前記アイデンティティ認証検出器により実行し、対応するサービス公開鍵とサービス秘密鍵とを生成するため、署名検証に成功した後、最新の成功したローカルバイオメトリック検証の際に前記ユーザによって使用されたバイオメトリックデータに対応するバイオメトリック特徴トークンを前記トークン・キーマネージャから取得し、前記仮想アカウントアイデンティティと、前記バイオメトリック認証タイプと、バイオメトリック認証トークンと、前記サービス秘密鍵との対応を保存し；前記デバイスアイデンティティ、前記仮想アカウントアイデンティティ、前記バイオメトリック認証タイプ、前記バイオメトリック特徴トークン、及び前記サービス公開鍵を、前記アイデンティティ認証検出器により、登録要求パケットにカプセル化し、前記トークン・キーマネージャが前記ユーザ側装置のデバイス秘密鍵を用いて前記登録要求パケットに署名した後、前記登録要求パケットを前記バイオメトリック認証クライアントへ返信し；及び、前記登録要求パケットを、前記バイオメトリック認証ミドルウェアへ、前記バイオメトリック認証クライアントにより返信し、及び、前記登録要求パケットを、前記サービスクライアントへ、前記バイオメトリック認証ミドルウェアにより返信するステップと；
前記登録要求パケットを、前記サービスサーバへ、前記サービスクライアントにより送信して、バイオメトリック認証センターサーバが前記ユーザ側装置のデバイス公開鍵を用いて前記登録要求パケットに対して署名検証を実行した後、前記認証サーバが前記アカウントに対してアイデンティティ認証を実行するため、前記デバイスアイデンティティと、前記仮想アカウントアイデンティティと、前記バイオメトリック認証タイプと、前記バイオメトリック特徴トークンと、前記サービス公開鍵との対応を保存するよう、前記登録要求パケットを、前記認証サーバへ、前記サービスサーバにより転送するステップと；を備える、
バイオメトリックアイデンティティを登録する方法。
【請求項２】
前記登録情報応答パケットは、前記認証サーバによって生成される前記仮想アカウントの登録検証コードを更に含み；
前記登録要求パケットを受信した後、前記認証サーバが、前記登録検証コードと、前記登録情報応答パケットの送信と前記登録要求パケットの受信との間の時間間隔とに基づいて前記登録要求パケットを検証するよう、前記登録要求パケットは、前記アイデンティティ認証検出器によってカプセル化された前記登録検証コードを更に含む、
請求項１に記載の方法。
【請求項３】
前記アイデンティティ認証検出器及び前記トークン・キーマネージャは、前記ユーザ側装置の安全な環境で作動する、
請求項１に記載の方法。
【請求項４】
認証サーバに適用されるバイオメトリックアイデンティティを登録する方法であって：
ユーザ側装置の登録情報要求パケットをサービスサーバから受信し、ここで、前記登録情報要求パケットは、サービスアカウントアイデンティティを含み；前記サービスアカウントアイデンティティに対応する仮想アカウントアイデンティティを生成し、前記仮想アカウントアイデンティティとサーバ公開鍵とを登録情報応答パケットにカプセル化し、前記サービスサーバが前記登録情報応答パケットを前記ユーザ側装置へ転送するよう、前記サーバ公開鍵に対応するサーバ秘密鍵を用いて前記登録情報応答パケットに署名した後、前記登録情報応答パケットを前記サービスサーバへ送信するステップと；
前記ユーザ側装置の登録要求パケットを前記サービスサーバから受信して、前記ユーザ側装置のデバイス暗号化キーを用いて前記登録要求パケットに署名し、ここで、前記登録要求パケットは、前記ユーザ側装置のデバイスアイデンティティ、前記仮想アカウントアイデンティティ、バイオメトリック認証タイプ、バイオメトリック特徴トークン、及びサービス公開鍵を含み；前記登録要求パケットをバイオメトリック認証センターサーバへ送信し、前記デバイスアイデンティティに対応するデバイス公開鍵を用いて前記登録要求パケットに対して署名検証を実行した後、前記バイオメトリック認証センターサーバによって返信される署名検証結果を受信するステップと；
前記アカウントに対してアイデンティティ認証を実行するため、前記登録要求パケットに対する署名検証に成功した後、前記デバイスアイデンティティと、前記仮想アカウントアイデンティティと、前記バイオメトリック認証タイプと、前記バイオメトリック特徴トークンと、前記サービス公開鍵との対応を保存するステップと；を備える、
バイオメトリックアイデンティティを登録する方法。
【請求項５】
前記仮想アカウントの登録検証コードを生成するステップを更に備え；
前記登録情報応答パケットは、前記生成される登録検証コードを更に含み；
前記登録要求パケットは登録検証コードを更に含み；
前記デバイスアイデンティティと、前記仮想アカウントアイデンティティと、前記バイオメトリック認証タイプと、前記バイオメトリック特徴トークンと、前記サービス公開鍵との対応を保存する前記ステップは、前記登録要求パケットの中の前記登録検証コードが前記登録要求パケットの中の前記仮想アカウント用に生成された前記登録検証コードと同じであり、前記登録情報応答パケットの送信と前記登録要求パケットの受信との間の時間間隔が第１の所定時間幅以内である場合、前記デバイスアイデンティティと、前記仮想アカウントアイデンティティと、前記バイオメトリック認証タイプと、前記バイオメトリック特徴トークンと、前記サービス公開鍵との前記対応を保存するステップを備える、
請求項４に記載の方法。
【請求項６】
ユーザ側装置に適用されるバイオメトリックアイデンティティを認証する方法であって、前記ユーザ側装置上で、サービスクライアント、バイオメトリック認証ミドルウェア、バイオメトリック認証クライアント、アイデンティティ認証検出器、及びトークン・キーマネージャが作動し： 
デバイス情報要求を、前記バイオメトリック認証ミドルウェアへ、前記サービスクライアントにより送信し、前記デバイス情報要求を、前記バイオメトリック認証クライアントへ、前記バイオメトリック認証ミドルウェアにより転送し、
前記デバイス情報要求を、前記アイデンティティ認証検出器へ、前記バイオメトリック認証クライアントにより転送し、デバイスアイデンティティを含む前記ユーザ側装置のデバイス情報を、前記アイデンティティ認証検出器により取得し、前記デバイス情報を含むデバイス情報応答を前記バイオメトリック認証クライアントへ返信し、前記デバイス情報応答を、前記バイオメトリック認証ミドルウェアへ、前記バイオメトリック認証クライアントにより返信し、及び、前記デバイス情報応答を、前記サービスクライアントへ、前記バイオメトリック認証ミドルウェアにより返信するステップと；
前記デバイスアイデンティティを含む認証情報要求パケットを、サービスサーバへ、前記サービスクライアントにより送信し、前記サービスサーバによって返信される認証情報応答パケットを受信し、ここで、前記認証情報応答パケットは、認証サーバによってサーバ秘密鍵を用いて署名され、次いで前記サービスサーバへ送信され、前記サーバ秘密鍵に対応するサーバ公開鍵と、前記デバイスアイデンティティに対応する、前記サービスサーバによって転送される前記認証情報要求パケットを受信した後、前記認証サーバによって取得される仮想アカウントアイデンティティとを含む、ステップと；
登録の際にユーザが使用したバイオメトリック認証タイプのバイオメトリックデータを、前記サービスクライアントにより取得して、前記バイオメトリックデータを含むローカルバイオメトリック認証要求を前記バイオメトリック認証ミドルウェアへ送信し；前記ローカルバイオメトリック認証要求を、前記バイオメトリック認証クライアントへ、前記バイオメトリック認証ミドルウェアにより転送し；前記バイオメトリックデータを用いて前記ユーザアイデンティティに対してバイオメトリック特徴検証を、前記バイオメトリック認証クライアントによい実行して、検証結果を含むローカルバイオメトリック認証応答を、前記バイオメトリック認証ミドルウェアへ返信し；及び、前記ローカルバイオメトリック認証応答を、前記サービスクライアントへ、前記バイオメトリック認証ミドルウェアにより返信するステップと；
前記ローカルバイオメトリック特徴検証結果が成功である場合、前記認証情報応答パケットを、前記バイオメトリック認証ミドルウェアへ、前記サービスクライアントにより送信して、前記認証情報応答パケットを、前記バイオメトリック認証クライアントへ、前記バイオメトリック認証ミドルウェアにより転送し；前記認証情報応答パケットを、前記アイデンティティ認証検出器へ、前記バイオメトリック認証クライアントにより転送し；前記サーバ公開鍵を用いて前記認証情報応答パケットに対して署名検証を、前記アイデンティティ認証検出器により実行し、署名検証に成功した後、最新の成功したローカルバイオメトリック検証において前記ユーザが使用したバイオメトリックデータに対応するバイオメトリック特徴トークンを、前記トークン・キーマネージャから取得し、前記バイオメトリック認証タイプ、前記認証情報応答パケットの中の前記仮想アカウントアイデンティティ、及び前記バイオメトリック特徴トークンに対応するサービス秘密鍵を、前記仮想アカウントアイデンティティと、前記バイオメトリック認証タイプと、前記バイオメトリック特徴トークンと、前記サービス秘密鍵との格納された対応から取得し、前記デバイスアイデンティティ、前記仮想アカウントアイデンティティ、前記バイオメトリック認証タイプ、及び前記バイオメトリック特徴トークンを、認証要求パケットにカプセル化して、前記サービス秘密鍵を用いて前記認証要求パケットに署名した後、前記認証要求パケットを前記バイオメトリック認証クライアントへ返信し；前記認証要求パケットを、前記バイオメトリック認証ミドルウェアへ、前記バイオメトリック認証クライアントにより返信し、前記認証要求パケットを、前記サービスクライアントへ、前記バイオメトリック認証ミドルウェアにより返信するステップと；
前記サービスサーバが前記認証要求パケットを前記認証サーバへ転送し、前記認証サーバが前記仮想アカウントアイデンティティ、前記デバイスアイデンティティ、及び前記バイオメトリック認証タイプに対応する登録されたサービス公開鍵と、登録されたバイオメトリック特徴トークンとに基づいて、前記ユーザに対してアイデンティティ認証を実行するよう、前記認証要求パケットを、前記サービスサーバへ、前記サービスクライアントにより送信するステップと；を備える、
バイオメトリックアイデンティティを認証する方法。
【請求項７】
前記認証情報応答パケットは、前記認証サーバによって生成される前記仮想アカウントの認証検証コードを更に含み；
前記認証要求パケットを受信した後、前記認証サーバが、前記認証検証コードと、前記認証情報応答パケットの送信と前記認証要求パケットの受信との間の時間間隔とに基づいて前記認証要求パケットを検証するよう、前記認証要求パケットは、前記アイデンティティ認証検出器によってカプセル化された前記認証検証コードを更に含む、
請求項６に記載の方法。
【請求項８】
前記アイデンティティ認証検出器及び前記トークン・キーマネージャは、前記ユーザ側装置の安全な環境で作動する、
請求項６に記載の方法。
【請求項９】
認証サーバに適用されるバイオメトリックアイデンティティを認証する方法であって：
ユーザ側装置の認証情報要求パケットをサービスサーバから受信し、ここで、前記認証情報要求パケットは前記ユーザ側装置のデバイスアイデンティティを含み、前記デバイスアイデンティティに対応する仮想アカウントアイデンティティを取得し、前記仮想アカウントアイデンティティとサーバ公開鍵とを認証情報応答パケットにカプセル化して、前記サービスサーバが前記認証情報応答パケットを前記ユーザ側装置へ転送するよう、前記サーバ公開鍵に対応するサーバ秘密鍵を用いて前記認証情報応答パケットに署名した後、前記認証情報応答パケットを前記サービスサーバへ送信するステップと；
前記ユーザ側装置の認証要求パケットを、前記サービスサーバから受信して、サービス公開鍵を用いて前記認証要求パケットに署名し、ここで、前記認証要求パケットは、前記ユーザ側装置の前記デバイス識別子、前記仮想アカウントアイデンティティ、バイオメトリック認証タイプ、及びバイオメトリック特徴トークンを含み；前記認証要求パケットの中の前記デバイスアイデンティティ、前記仮想アカウントアイデンティティ、及び前記バイオメトリック認証タイプに対応する登録されたサービス公開鍵と登録されたバイオメトリック特徴トークンとを取得するステップと；
前記登録されたサービス公開鍵を用いて前記認証要求パケットに対して署名検証を実行して、前記認証要求パケットの中の前記バイオメトリック特徴トークンと、前記登録されたバイオメトリック特徴トークンとに基づいて、前記ユーザに対してアイデンティティ認証を実行するステップと；を備える、
バイオメトリックアイデンティティを認証する方法。
【請求項１０】
前記仮想アカウントの認証検証コードを生成するステップを更に備え；
前記認証情報応答パケットは、前記生成される認証検証コードを更に含み；
前記認証要求パケットは、認証検証コードを更に含み；
前記登録されたサービス公開鍵を用いて前記認証要求パケットに対して署名検証を実行し、前記認証要求パケットの中の前記バイオメトリック特徴トークンと、前記登録されたバイオメトリック特徴トークンとに基づいて、前記ユーザに対してアイデンティティ認証を実行する前記ステップは、前記認証要求パケットの中の前記認証検証コードが前記認証要求パケットの中の前記仮想アカウント用に生成された前記認証検証コードと同じであり、前記認証情報応答パケットの送信と前記認証要求パケットの受信の間の時間間隔が第２の所定時間幅以内である場合、前記登録されたサービス公開鍵を用いて前記認証要求パケットに対して署名検証を実行し、前記認証要求パケットの中の前記バイオメトリック特徴トークンと、前記登録されたバイオメトリック特徴トークンとに基づいて、前記ユーザに対してアイデンティティ認証を実行するステップを備える、
請求項９に記載の方法。
【請求項１１】
ユーザ側装置に適用される、バイオメトリックアイデンティティを登録するデバイスであって：、
デバイス情報要求をバイオメトリック認証ミドルウェアへ送信して、デバイスアイデンティティを含んで前記バイオメトリック認証ミドルウェアによって返信されるデバイス情報応答を受信し；サービスアカウントアイデンティティを含む登録情報要求パケットをサービスサーバへ送信して、前記サービスサーバによって返信される登録情報応答パケットを受信し、ここで、前記登録情報応答パケットは、サーバ秘密鍵を用いて認証サーバによって署名され、次いで前記サービスサーバへ送信され、前記サービスアカウントアイデンティティに対応する、前記サービスサーバによって転送される前記登録情報要求パケットを受信した後、前記認証サーバによって生成される仮想アカウントアイデンティティと、前記サーバ秘密鍵に対応するサーバ公開鍵とを含み；前記ユーザのバイオメトリック認証タイプを特定して、前記バイオメトリック認証タイプの前記ユーザのバイオメトリックデータを取得して、前記バイオメトリックデータを含むローカルバイオメトリック認証要求を前記バイオメトリック認証ミドルウェアへ送信して、ローカルバイオメトリック検証結果を含んで前記バイオメトリック認証ミドルウェアによって返信されるローカルバイオメトリック認証応答を受信し；前記ローカルバイオメトリック特徴検証結果が成功である場合、前記登録情報応答パケットを前記バイオメトリック認証ミドルウェアへ送信して、前記バイオメトリック認証ミドルウェアによって返信される登録要求パケットを受信し、前記ユーザ側装置のデバイス秘密鍵を用いて前記登録要求パケットに署名し、ここで、前記登録要求パケットは、前記デバイスアイデンティティ、前記仮想アカウントアイデンティティ、前記バイオメトリック認証タイプ、バイオメトリック特徴トークン、及びサービス公開鍵を含み；前記サービスサーバが前記登録要求パケットを前記認証サーバへ転送し、バイオメトリック認証センターサーバが前記ユーザ側装置のデバイス公開鍵を用いて前記登録要求パケットに対して署名検証を実行した後、前記認証サーバが前記アカウントに対してアイデンティティ認証を実行するため、前記デバイスアイデンティティと、前記仮想アカウントアイデンティティと、前記バイオメトリック特徴タイプと、前記バイオメトリック特徴トークンと、前記サービス公開鍵との対応を保存するよう、前記登録要求パケットを前記サービスサーバへ送信するように構成されたサービスクライアントと；
デバイス情報要求を前記サービスクライアントから受信して、前記デバイス情報要求をバイオメトリック認証クライアントへ転送し、デバイス情報応答を前記バイオメトリック認証クライアントから受信して、前記デバイス情報応答を前記サービスクライアントへ転送し；ローカルバイオメトリック認証要求を前記サービスクライアントから受信して、前記ローカルバイオメトリック認証要求を前記バイオメトリック認証クライアントへ転送し、ローカルバイオメトリック認証応答を前記バイオメトリック認証クライアントから受信して、前記ローカルバイオメトリック認証応答を前記サービスクライアントへ転送し；及び、登録情報応答パケットを前記サービスクライアントから受信して、前記登録情報応答パケットを前記バイオメトリック認証クライアントへ転送し、登録要求パケットを前記バイオメトリック認証クライアントから受信して、前記登録要求パケットを前記サービスクライアントへ転送するように構成された前記バイオメトリック認証ミドルウェアと；
デバイス情報要求を前記バイオメトリック認証ミドルウェアから受信して、前記デバイス情報要求をアイデンティティ認証検出器へ転送して、デバイス情報応答を前記アイデンティティ認証検出器から受信し、前記デバイス情報応答を前記バイオメトリック認証ミドルウェアへ転送し；ローカルバイオメトリック認証要求を前記バイオメトリック認証ミドルウェアから受信して、前記ローカルバイオメトリック認証要求の中のバイオメトリックデータを用いて前記ユーザアイデンティティに対してバイオメトリック特徴検証を実行し、検証結果を含むローカルバイオメトリック認証応答を、前記バイオメトリック認証ミドルウェアへ返信し；及び、登録情報応答パケットを前記バイオメトリック認証ミドルウェアから受信して、前記登録情報応答パケットを前記アイデンティティ認証検出器へ転送し、登録要求パケットを前記アイデンティティ認証検出器から受信して、前記登録要求パケットを前記バイオメトリック認証ミドルウェアへ転送するように構成された前記バイオメトリック認証クライアントと；
前記バイオメトリック認証クライアントによって転送されるデバイス情報要求を受信した後、前記デバイスアイデンティティを含む前記ユーザ側装置のデバイス情報を取得して、前記デバイス情報を含むデバイス情報応答を前記バイオメトリック認証クライアントへ返信し；前記バイオメトリック認証クライアントによって転送される登録情報応答パケットを受信した後、前記登録情報応答パケットの中のサーバ公開鍵を用いて前記登録情報応答パケットに対して署名検証を実行して、署名検証に成功した後、最新の成功したローカルバイオメトリック検証において前記ユーザが使用したバイオメトリックデータに対応するバイオメトリック特徴トークンを、トークン・キーマネージャから取得して、対応するサービス公開鍵とサービス秘密鍵を生成し、前記仮想アカウントアイデンティティと、前記バイオメトリック認証タイプと、バイオメトリック認証トークンと、前記サービス秘密鍵との対応を保存して、前記デバイスアイデンティティ、前記仮想アカウントアイデンティティ、前記バイオメトリック認証タイプ、前記バイオメトリック特徴トークン、及び前記サービス公開鍵を登録要求パケットにカプセル化して、前記トークン・キーマネージャが前記ユーザ側装置の前記デバイス秘密鍵を用いて前記登録要求パケットに署名した後、前記登録要求パケットを前記バイオメトリック認証クライアントへ返信するように構成された前記アイデンティティ認証検出器と；
前記アイデンティティ認証検出器に、最新の成功したローカルバイオメトリック検証の際に前記ユーザが使用した前記バイオメトリックデータに対応する前記バイオメトリック特徴トークンを提供し；及び、登録要求パケットを前記アイデンティティ認証検出器から受信した後、前記ユーザ側装置の前記格納されたデバイス秘密鍵を用いて前記登録要求パケットに署名し、次いで前記登録要求パケットを前記アイデンティティ認証検出器へ返信するように構成された前記トークン・キーマネージャと；を備える、
バイオメトリックアイデンティティを登録するデバイス。
【請求項１２】
前記登録情報応答パケットが、前記認証サーバによって生成される前記仮想アカウントの登録検証コードを更に含み；
前記登録要求パケットを受信した後、前記認証サーバが、前記登録検証コードと、前記登録情報応答パケットの送信と前記登録要求パケットの受信との間の時間間隔とに基づいて前記登録要求パケットを検証するよう、前記登録要求パケットは前記登録検証コードを更に含む、
請求項１１に記載のデバイス。
【請求項１３】
前記アイデンティティ認証検出器及び前記トークン・キーマネージャは、前記ユーザ側装置の安全な環境で作動する、
請求項１１に記載のデバイス。
【請求項１４】
認証サーバに適用される、バイオメトリックアイデンティティを登録するデバイスであって：
ユーザ側装置の登録情報要求パケットをサービスサーバから受信し、ここで、前記登録情報要求パケットは、サービスアカウントアイデンティティを含み、前記サービスアカウントアイデンティティに対応する仮想アカウントアイデンティティを生成して、前記仮想アカウントアイデンティティとサーバ公開鍵を登録情報応答パケットにカプセル化し、前記サービスサーバが前記登録情報応答パケットを前記ユーザ側装置へ転送するよう、前記サーバ公開鍵に対応するサーバ秘密鍵を用いて前記登録情報応答パケットに署名した後、前記登録情報応答パケットを前記サービスサーバへ送信するように構成された登録情報応答ユニットと；
前記ユーザ側装置の登録要求パケットを前記サービスサーバから受信して、前記ユーザ側装置のデバイス暗号化キーを用いて前記登録要求パケットに署名し、ここで、前記登録要求パケットは、前記ユーザ側装置のデバイスアイデンティティ、前記仮想アカウントアイデンティティ、バイオメトリック認証タイプ、バイオメトリック特徴トークン、及びサービス公開鍵を含み；及び、前記登録要求パケットをバイオメトリック認証センターサーバへ送信して、前記デバイスアイデンティティに対応するデバイス公開鍵を用いて前記登録要求パケットに対して署名検証を実行した後、前記バイオメトリック認証センターサーバによって返信される署名検証結果を受信するように構成された登録要求受信ユニットと；
前記アカウントに対してアイデンティティ認証を実行するため、前記登録要求パケットに対する署名検証が成功した後、前記デバイスアイデンティティと、前記仮想アカウントアイデンティティと、前記バイオメトリック認証タイプと、前記バイオメトリック特徴トークンと、前記サービス公開鍵との対応を保存するように構成された登録情報格納ユニットと；を備える、
バイオメトリックアイデンティティを登録するデバイス。
【請求項１５】
前記デバイスが、前記仮想アカウントの登録検証コードを生成するように構成された登録検証コード生成ユニットを更に備え；
前記登録情報応答パケットが、前記生成される登録検証コードを更に含み；
前記登録要求パケットが、登録検証コードを更に含み；
前記登録情報格納ユニットは、前記登録要求パケットの中の前記登録検証コードが前記登録要求パケットの中の前記仮想アカウント用に生成された前記登録検証コードと同じであり、且つ前記登録情報応答パケットの送信と前記登録要求パケットの受信の間の時間間隔が第１の所定時間幅以内である場合に、前記登録要求パケットに対する署名検証が成功した後、前記デバイスアイデンティティと、前記仮想アカウントアイデンティティと、前記バイオメトリック認証タイプと、前記バイオメトリック特徴トークンと、前記サービス公開鍵との前記対応を保存するように構成された、
請求項１４に記載のデバイス。
【請求項１６】
ユーザ側装置に適用される、バイオメトリックアイデンティティを認証するデバイスであって：
デバイス情報要求をバイオメトリック認証ミドルウェアへ送信して、デバイスアイデンティティを含んで前記バイオメトリック認証ミドルウェアによって返信されるデバイス情報応答を受信し；前記デバイスアイデンティティを含む認証情報要求パケットをサービスサーバへ送信して、前記サービスサーバによって返信される認証情報応答パケットを受信し、ここで、前記認証情報応答パケットは、認証サーバによってサーバ秘密鍵を用いて署名され、次いで前記サービスサーバへ送信され、前記サーバ秘密鍵に対応するサーバ公開鍵と、前記デバイスアイデンティティに対応する、前記サービスサーバによって転送される前記認証情報要求パケットを受信した後、前記認証サーバによって取得される仮想アカウントアイデンティティとを含み；登録の際にユーザが使用したバイオメトリック認証タイプのバイオメトリックデータを取得して、前記バイオメトリックデータを含むローカルバイオメトリック認証要求を前記バイオメトリック認証ミドルウェアへ送信し、ローカルバイオメトリック検証結果を含んで前記バイオメトリック認証ミドルウェアによって返信されるローカルバイオメトリック認証応答を受信し；前記ローカルバイオメトリック特徴検証結果が成功である場合、前記認証情報応答パケットを前記バイオメトリック認証ミドルウェアへ送信して、前記バイオメトリック認証ミドルウェアによって返信される認証要求パケットを受信し、サービス秘密鍵を用いて前記認証要求パケットに署名し、ここで、前記認証要求パケットは、前記デバイスアイデンティティ、前記仮想アカウントアイデンティティ、前記バイオメトリック認証タイプ、及びバイオメトリック特徴トークンを含み；前記サービスサーバが前記認証要求パケットを前記認証サーバへ転送し、前記認証サーバが前記仮想アカウントアイデンティティ、前記デバイスアイデンティティ、及び前記バイオメトリック認証タイプに対応する登録されたサービス公開鍵と登録されたバイオメトリック特徴トークンに基づいて前記ユーザに対してアイデンティティ認証を実行するよう、前記認証要求パケットを前記サービスサーバへ送信するように構成されたサービスクライアントと；
デバイス情報要求を前記サービスクライアントから受信して、前記デバイス情報要求をバイオメトリック認証クライアントへ転送し、デバイス情報応答を前記バイオメトリック認証クライアントから受信して、前記デバイス情報応答を前記サービスクライアントへ転送し；ローカルバイオメトリック認証要求を前記サービスクライアントから受信して、前記ローカルバイオメトリック認証要求を前記バイオメトリック認証クライアントへ転送し、ローカルバイオメトリック認証応答を前記バイオメトリック認証クライアントから受信して、前記ローカルバイオメトリック認証応答を前記サービスクライアントへ転送し；及び、認証情報応答パケットを前記サービスクライアントから受信して、前記認証情報応答パケットを前記バイオメトリック認証クライアントへ転送し、認証要求パケットを前記バイオメトリック認証クライアントから受信して、前記認証要求パケットを前記サービスクライアントへ転送するように構成された前記バイオメトリック認証ミドルウェアと；
デバイス情報要求を前記バイオメトリック認証ミドルウェアから受信して、前記デバイス情報要求をアイデンティティ認証検出器へ転送し、デバイス情報応答を前記アイデンティティ認証検出器から受信して、前記デバイス情報応答を前記バイオメトリック認証ミドルウェアへ転送し；ローカルバイオメトリック認証要求を前記バイオメトリック認証ミドルウェアから受信して、前記ローカルバイオメトリック認証要求の中のバイオメトリックデータを用いて前記ユーザアイデンティティに対してバイオメトリック特徴検証を実行し、検証結果を含むローカルバイオメトリック認証応答を前記バイオメトリック認証ミドルウェアへ返信し；及び、認証情報応答パケットを前記バイオメトリック認証ミドルウェアから受信して、前記認証情報応答パケットを前記アイデンティティ認証検出器へ転送し、認証要求パケットを前記アイデンティティ認証検出器から受信して、前記認証要求パケットを前記バイオメトリック認証ミドルウェアへ転送し；構成された前記バイオメトリック認証クライアントと；
前記バイオメトリック認証クライアントによって転送されるデバイス情報要求を受信した後、前記デバイスアイデンティティを含む前記ユーザ側装置のデバイス情報を取得して、前記デバイス情報を含むデバイス情報応答を前記バイオメトリック認証クライアントへ返信し；前記バイオメトリック認証クライアントによって転送される認証情報応答パケットを受信した後、前記認証情報応答パケットの中のサーバ公開鍵を用いて前記認証情報応答パケットに対して署名検証を実行して、署名検証が成功した後、最新の成功したローカルバイオメトリック検証の際に前記ユーザによって使用されたバイオメトリックデータに対応するバイオメトリック特徴トークンをトークン・キーマネージャから取得して、前記バイオメトリック認証タイプ、前記認証情報応答パケットの中の前記仮想アカウントアイデンティティ、及び前記バイオメトリック特徴トークンに対応するサービス秘密鍵を、前記仮想アカウントアイデンティティと、前記バイオメトリック認証タイプと、前記バイオメトリック特徴トークンと、前記サービス秘密鍵との格納された対応から取得し、前記デバイスアイデンティティ、前記仮想アカウントアイデンティティ、前記バイオメトリック認証タイプ、及び前記バイオメトリック特徴トークンを、認証要求パケットにカプセル化して、前記サービス秘密鍵を用いて前記認証要求パケットに署名した後、前記認証要求パケットを前記バイオメトリック認証クライアントへ返信するように構成された前記アイデンティティ認証検出器と；
前記アイデンティティ認証検出器に、最新の成功したローカルバイオメトリック検証の際に前記ユーザが使用した前記バイオメトリックデータに対応する前記バイオメトリック特徴トークンを提供するように構成された前記トークン・キーマネージャと；を備える、
バイオメトリックアイデンティティを認証するデバイス。
【請求項１７】
前記認証情報応答パケットは、前記認証サーバによって生成される前記仮想アカウントの認証検証コードを更に含み；
前記認証要求パケットを受信した後、前記認証サーバが、前記認証検証コードと、前記認証情報応答パケットの送信と前記認証要求パケットの受信との間の時間間隔とに基づいて前記認証要求パケットを検証するよう、前記認証要求パケットは、前記アイデンティティ認証検出器によってカプセル化された前記認証検証コードを更に含む；
請求項１６に記載のデバイス。
【請求項１８】
前記アイデンティティ認証検出器及び前記トークン・キーマネージャは、前記ユーザ側装置の安全な環境で作動する、
請求項１６に記載のデバイス。
【請求項１９】
認証サーバに適用される、バイオメトリックアイデンティティを認証するデバイスであって：
ユーザ側装置の認証情報要求パケットをサービスサーバから受信し、ここで、前記認証情報要求パケットは、前記ユーザ側装置のデバイスアイデンティティを含み、前記デバイスアイデンティティに対応する仮想アカウントアイデンティティを取得して、前記仮想アカウントアイデンティティとサーバ公開鍵とを認証情報応答パケットにカプセル化し、前記サービスサーバが前記認証情報応答パケットを前記ユーザ側装置へ転送するよう、前記サーバ公開鍵に対応するサーバ秘密鍵を用いて前記認証情報応答パケットに署名した後、前記認証情報応答パケットを前記サービスサーバへ送信するように構成された認証情報応答ユニットと；
前記ユーザ側装置の認証要求パケットを前記サービスサーバから受信して、サービス公開鍵を用いて前記認証要求パケットに署名し、ここで、前記認証要求パケットは、前記ユーザ側装置の前記デバイス識別子、前記仮想アカウントアイデンティティ、バイオメトリック認証タイプ、及びバイオメトリック特徴トークンを含み；及び、前記認証要求パケットの中の前記デバイスアイデンティティ、前記仮想アカウントアイデンティティ、及び前記バイオメトリック認証タイプに対応する登録されたサービス公開鍵と、登録されたバイオメトリック特徴トークンとを取得するように構成された認証要求受信ユニットと；
前記登録されたサービス公開鍵を用いて前記認証要求パケットに対して署名検証を実行して、前記認証要求パケットの中の前記バイオメトリック特徴トークンと、前記登録されたバイオメトリック特徴トークンとに基づいて前記ユーザに対してアイデンティティ認証を実行するように構成された署名検証・認証ユニットと；を備える、
バイオメトリックアイデンティティを認証するデバイス。
【請求項２０】
前記デバイスは、前記仮想アカウントの認証検証コードを生成するように構成された認証検証コード生成ユニットを更に備え；
前記認証情報応答パケットは、前記生成される認証検証コードを更に含み；
前記認証要求パケットは、認証検証コードを更に含み；
前記署名検証・認証ユニットは、前記認証要求パケットの中の前記認証検証コードが前記認証要求パケットの中の前記仮想アカウント用に生成された前記認証検証コードと同じであり、且つ前記認証情報応答パケットの送信と前記認証要求パケットの受信との間の時間間隔が第２の所定時間幅以内である場合に、前記登録されたサービス公開鍵を用いて前記認証要求パケットに対して署名検証を実行して、前記認証要求パケットの中の前記バイオメトリック特徴トークンと、前記登録されたバイオメトリック特徴トークンとに基づいて前記ユーザに対してアイデンティティ認証を実行するように構成された、
請求項１９に記載のデバイス。
【発明の詳細な説明】
【技術分野】
【０００１】
本願は、ネットワークコミュニケーション技術の分野に関し、特に、バイオメトリックアイデンティティを登録する方法及びデバイス、及び、バイオメトリックアイデンティティを認証する方法及びデバイスに関する。
【背景技術】
【０００２】
バイオメトリック識別技術の発達に伴い、コンピュータと、光学、音響学、バイオセンサ、生物統計学との組合せを用いて、かつ人体の生理学的特徴、例えば指紋、顔、虹彩、音声、を用いて、個人のアイデンティティを認証することができる。
【０００３】
モバイルインターネットの急速な展開により、バイオメトリック識別技術のための新たなアプリケーションプラットフォームが提供される。例えば、指紋と顔を用いて、パスワードを記憶し、入力をせずにユーザ側装置での支払いのためのアカウントにログインすることができる。バイオメトリック識別はモバイル決済アプリケーションでのアイデンティティ認証に用いられる可能性が益々高くなることから、セキュリティは、登録及び認証の際に先ず考慮しなければならない最も重要な要素である。
【発明の概要】
【０００４】
このような事情に鑑み、本願はユーザ側装置に適用される、バイオメトリックアイデンティティを登録する方法を提供し、ここで、ユーザ側装置上で、サービスクライアント、バイオメトリック認証ミドルウェア、バイオメトリック認証クライアント、アイデンティティ認証検出器、及びトークン・キーマネージャが作動する。この方法は以下を含む。
【０００５】
サービスクライアントは、デバイス情報要求をバイオメトリック認証ミドルウェアへ送信し、バイオメトリック認証ミドルウェアは、デバイス情報要求をバイオメトリック認証クライアントへ転送し、バイオメトリック認証クライアントは、デバイス情報要求をアイデンティティ認証検出器へ転送し、アイデンティティ認証検出器は、デバイスアイデンティティを含むユーザ側装置のデバイス情報を取得して、デバイス情報を含むデバイス情報応答をバイオメトリック認証クライアントへ返信し、バイオメトリック認証クライアントは、デバイス情報応答をバイオメトリック認証ミドルウェアへ返信し、バイオメトリック認証ミドルウェアは、デバイス情報応答をサービスクライアントへ返信する。
【０００６】
サービスクライアントは、サービスアカウントアイデンティティを含む登録情報要求パケットをサービスサーバへ送信して、サービスサーバによって返信される登録情報応答パケットを受信し、ここで、登録情報応答パケットは、認証サーバによってサーバ秘密鍵を用いて署名され、次いでサービスサーバへ送信され、サーバ秘密鍵に対応するサーバ公開鍵と、サービスアカウントアイデンティティに対応する、サービスサーバによって転送される登録情報要求パケットを受信した後、認証サーバによって生成される仮想アカウントアイデンティティとを含む。
【０００７】
サービスクライアントは：ユーザのバイオメトリック認証タイプを特定して、バイオメトリック認証タイプのユーザのバイオメトリックデータを取得し、バイオメトリックデータを含むローカルバイオメトリック認証要求をバイオメトリック認証ミドルウェアへ送信し；バイオメトリック認証ミドルウェアは、ローカルバイオメトリック認証要求を、バイオメトリック認証クライアントへ転送し；バイオメトリック認証クライアントは、バイオメトリックデータを用いてユーザアイデンティティに対してバイオメトリック特徴検証を実行して、検証結果を含むローカルバイオメトリック認証応答をバイオメトリック認証ミドルウェアへ返信し；及び、バイオメトリック認証ミドルウェアは、ローカルバイオメトリック認証応答をサービスクライアントへ返信する。
【０００８】
ローカルバイオメトリック特徴検証結果が成功であった場合、サービスクライアントは、登録情報応答パケットをバイオメトリック認証ミドルウェアへ送信し、バイオメトリック認証ミドルウェアは、登録情報応答パケットをバイオメトリック認証クライアントへ転送し；バイオメトリック認証クライアントは、登録情報応答パケットをアイデンティティ認証検出器へ転送し；アイデンティティ認証検出器は、サーバ公開鍵を用いて登録情報応答パケットに対して署名検証を実行して、対応するサービス公開鍵とサービス秘密鍵とを生成するため、署名検証に成功した後、最新の成功したローカルバイオメトリック検証の際にユーザが使用したバイオメトリックデータに対応するバイオメトリック特徴トークンを、トークン・キーマネージャから取得して、仮想アカウントアイデンティティと、バイオメトリック認証タイプと、バイオメトリック認証トークンと、サービス秘密鍵との対応を保存し；アイデンティティ認証検出器は、デバイスアイデンティティ、仮想アカウントアイデンティティ、バイオメトリック認証タイプ、バイオメトリック特徴トークン、及びサービス公開鍵を、登録要求パケットにカプセル化して、トークン・キーマネージャがユーザ側装置のデバイス秘密鍵を用いて登録要求パケットに署名した後、登録要求パケットを、バイオメトリック認証クライアントへ返信し；及び、バイオメトリック認証クライアントは、登録要求パケットをバイオメトリック認証ミドルウェアへ返信し、バイオメトリック認証ミドルウェアは、登録要求パケットをサービスクライアントへ返信する。
【０００９】
サービスクライアントは、登録要求パケットをサービスサーバへ送信し；バイオメトリック認証センターサーバがユーザ側装置のデバイス公開鍵を用いて登録要求パケットに対して署名検証を実行した後、認証サーバがアカウントに対してアイデンティティ認証を実行するため、デバイスアイデンティティと、仮想アカウントアイデンティティと、バイオメトリック認証タイプと、バイオメトリック特徴トークンと、サービス公開鍵との対応を保存するよう、サービスサーバは、登録要求パケットを認証サーバへ転送する。
【００１０】
本願は、認証サーバに適用される、バイオメトリックアイデンティティを登録する方法を提供し、この方法は以下のステップを含む。
【００１１】
ユーザ側装置の登録情報要求パケットをサービスサーバから受信し、ここで、登録情報要求パケットはサービスアカウントアイデンティティを含み；サービスアカウントアイデンティティに対応する仮想アカウントアイデンティティを生成して、仮想アカウントアイデンティティとサーバ公開鍵とを、登録情報応答パケットにカプセル化し、サービスサーバが登録情報応答パケットをユーザ側装置へ転送するよう、サーバ公開鍵に対応するサーバ秘密鍵を用いて登録情報応答パケットに署名した後、登録情報応答パケットをサービスサーバへ送信するステップ。
【００１２】
ユーザ側装置の登録要求パケットをサービスサーバから受信し、ユーザ側装置のデバイス暗号化キーを用いて登録要求パケットに署名し、ここで、登録要求パケットは、ユーザ側装置のデバイスアイデンティティ、仮想アカウントアイデンティティ、バイオメトリック認証タイプ、バイオメトリック特徴トークン、及びサービス公開鍵を含み；登録要求パケットをバイオメトリック認証センターサーバへ送信し、デバイスアイデンティティに対応するデバイス公開鍵を用いて登録要求パケットに対して署名検証を実行した後、バイオメトリック認証センターサーバによって返信される署名検証結果を受信するステップ。
【００１３】
登録要求パケットに対する署名検証に成功した後、デバイスアイデンティティと、仮想アカウントアイデンティティと、バイオメトリック認証タイプと、バイオメトリック特徴トークンと、サービス公開鍵との対応を保存してアカウントに対してアイデンティティ認証を実行するステップ。
【００１４】
本願は、ユーザ側装置に適用される、バイオメトリックアイデンティティを認証する方法を提供し、ここで、サービスクライアント、バイオメトリック認証ミドルウェア、バイオメトリック認証クライアント、アイデンティティ認証検出器、及びトークン・キーマネージャは、ユーザ側装置上で作動する。この方法は以下を含む。
【００１５】
サービスクライアントは、デバイス情報要求をバイオメトリック認証ミドルウェアへ送信し、バイオメトリック認証ミドルウェアは、デバイス情報要求をバイオメトリック認証クライアントへ転送し、バイオメトリック認証クライアントは、デバイス情報要求をアイデンティティ認証検出器へ転送し、アイデンティティ認証検出器は、デバイスアイデンティティを含むユーザ側装置のデバイス情報を取得して、デバイス情報を含むデバイス情報応答をバイオメトリック認証クライアントへ返信し、バイオメトリック認証クライアントは、デバイス情報応答をバイオメトリック認証ミドルウェアへ返信し、バイオメトリック認証ミドルウェアは、デバイス情報応答をサービスクライアントへ返信する。
【００１６】
サービスクライアントは、デバイスアイデンティティを含む認証情報要求パケットをサービスサーバへ送信して、サービスサーバによって返信される認証情報応答パケットを受信し、ここで、認証情報応答パケットは、認証サーバによってサーバ秘密鍵を用いて署名され、次いでサービスサーバへ送信され、サーバ秘密鍵に対応するサーバ公開鍵と、デバイスアイデンティティに対応する、サービスサーバによって転送される認証情報要求パケットを受信した後、認証サーバによって取得される仮想アカウントアイデンティティとを含む。
【００１７】
サービスクライアントは、登録の際にユーザが使用したバイオメトリック認証タイプのバイオメトリックデータを取得して、バイオメトリックデータを含むローカルバイオメトリック認証要求をバイオメトリック認証ミドルウェアへ送信し；バイオメトリック認証ミドルウェアは、ローカルバイオメトリック認証要求をバイオメトリック認証クライアントへ転送し；バイオメトリック認証クライアントは、バイオメトリックデータを用いてユーザアイデンティティに対してバイオメトリック特徴検証を実行して、検証結果を含むローカルバイオメトリック認証応答をバイオメトリック認証ミドルウェアへ返信し；バイオメトリック認証ミドルウェアは、ローカルバイオメトリック認証応答をサービスクライアントへ返信する。
【００１８】
ローカルバイオメトリック特徴検証結果に成功した場合、サービスクライアントは、認証情報応答パケットをバイオメトリック認証ミドルウェアへ送信し、バイオメトリック認証ミドルウェアは、認証情報応答パケットをバイオメトリック認証クライアントへ転送し；バイオメトリック認証クライアントは、認証情報応答パケットをアイデンティティ認証検出器へ転送し；アイデンティティ認証検出器は、サーバ公開鍵を用いて認証情報応答パケットに対して署名検証を実行して、署名検証に成功した後、最新の成功したローカルバイオメトリック検証においてユーザが使用したバイオメトリックデータに対応するバイオメトリック特徴トークンを、トークン・キーマネージャから取得し、バイオメトリック認証タイプ、認証情報応答パケットの中の仮想アカウントアイデンティティ、及びバイオメトリック特徴トークンに対応するサービス秘密鍵を、仮想アカウントアイデンティティと、バイオメトリック認証タイプと、バイオメトリック特徴トークンと、サービス秘密鍵との格納された対応から取得して、デバイスアイデンティティ、仮想アカウントアイデンティティ、バイオメトリック認証タイプ、及びバイオメトリック特徴トークンを認証要求パケットにカプセル化して、サービス秘密鍵を用いて認証要求パケットに署名した後、認証要求パケットをバイオメトリック認証クライアントへ返信し；バイオメトリック認証クライアントは、認証要求パケットをバイオメトリック認証ミドルウェアへ返信し、バイオメトリック認証ミドルウェアは、認証要求パケットをサービスクライアントへ返信する。
【００１９】
サービスクライアントは、サービスサーバが認証要求パケットを認証サーバへ転送し、認証サーバが仮想アカウントアイデンティティ、デバイスアイデンティティ、及びバイオメトリック認証タイプに対応する登録されたサービス公開鍵と登録されたバイオメトリック特徴トークンとに基づいてユーザに対してアイデンティティ認証を実行するよう、認証要求パケットをサービスサーバへ送信する。
【００２０】
本願は、認証サーバに適用される、バイオメトリックアイデンティティを登録する方法を提供し、この方法は以下のステップを含む。
【００２１】
ユーザ側装置の認証情報要求パケットをサービスサーバから受信し、ここで、認証情報要求パケットは、ユーザ側装置のデバイスアイデンティティを含み、デバイスアイデンティティに対応する仮想アカウントアイデンティティを取得し、仮想アカウントアイデンティティとサーバ公開鍵とを、認証情報応答パケットにカプセル化し、サービスサーバが認証情報応答パケットをユーザ側装置へ転送するよう、サーバ公開鍵に対応するサーバ秘密鍵を用いて認証情報応答パケットに署名した後、認証情報応答パケットを、サービスサーバへ送信するステップ。
【００２２】
ユーザ側装置の認証要求パケットをサービスサーバから受信して、サービス公開鍵を用いて認証要求パケットに署名し、ここで、認証要求パケットは、ユーザ側装置のデバイス識別子、仮想アカウントアイデンティティ、バイオメトリック認証タイプ、及びバイオメトリック特徴トークンを含み；認証要求パケットの中のデバイスアイデンティティ、仮想アカウントアイデンティティ、及びバイオメトリック認証タイプに対応する登録されたサービス公開鍵と登録されたバイオメトリック特徴トークンとを取得するステップ。
【００２３】
登録されたサービス公開鍵を用いて認証要求パケットに対して署名検証を実行して、認証要求パケットの中のバイオメトリック特徴トークンと、登録されたバイオメトリック特徴トークンとに基づいて、ユーザに対してアイデンティティ認証を実行するステップ。
【００２４】
本願は、ユーザ側装置に適用される、バイオメトリックアイデンティティを登録するデバイスを更に提供し、このデバイスは以下を含む。
【００２５】
デバイス情報要求をバイオメトリック認証ミドルウェアへ送信して、デバイスアイデンティティを含んでバイオメトリック認証ミドルウェアによって返信されるデバイス情報応答を受信し；サービスアカウントアイデンティティを含む登録情報要求パケットをサービスサーバへ送信して、サービスサーバによって返信される登録情報応答パケットを受信し、ここで、登録情報応答パケットは、サーバ秘密鍵を用いて認証サーバによって署名され、次いでサービスサーバへ送信され、サービスアカウントアイデンティティに対応する、サービスサーバによって転送される登録情報要求パケットを受信した後で認証サーバによって生成される仮想アカウントアイデンティティと、サーバ秘密鍵に対応するサーバ公開鍵とを含み；ユーザのバイオメトリック認証タイプを特定し、バイオメトリック認証タイプのユーザのバイオメトリックデータを取得して、バイオメトリックデータを含むローカルバイオメトリック認証要求をバイオメトリック認証ミドルウェアへ送信し、ローカルバイオメトリック検証結果を含みバイオメトリック認証ミドルウェアによって返信されるローカルバイオメトリック認証応答を受信し；ローカルバイオメトリック特徴検証結果が成功であった場合、登録情報応答パケットをバイオメトリック認証ミドルウェアへ送信し、バイオメトリック認証ミドルウェアによって返信される登録要求パケットを受信し、ユーザ側装置のデバイス秘密鍵を用いて登録要求パケットに署名し、ここで、登録要求パケットは、デバイスアイデンティティ、仮想アカウントアイデンティティ、バイオメトリック認証タイプ、バイオメトリック特徴トークン、及びサービス公開鍵を含み；サービスサーバが登録要求パケットを認証サーバへ転送し、バイオメトリック認証センターサーバがユーザ側装置のデバイス公開鍵を用いて登録要求パケットに対して署名検証を実行した後、認証サーバがアカウントに対してアイデンティティ認証を実行するため、デバイスアイデンティティと、仮想アカウントアイデンティティと、バイオメトリック特徴タイプと、バイオメトリック特徴トークンと、サービス公開鍵との対応を保存するよう、登録要求パケットをサービスサーバへ送信するように構成されたサービスクライアント。
【００２６】
デバイス情報要求をサービスクライアントから受信し、デバイス情報要求をバイオメトリック認証クライアントへ転送し、デバイス情報応答をバイオメトリック認証クライアントから受信し、デバイス情報応答をサービスクライアントへ転送し；ローカルバイオメトリック認証要求をサービスクライアントから受信し、ローカルバイオメトリック認証要求をバイオメトリック認証クライアントへ転送し、ローカルバイオメトリック認証応答をバイオメトリック認証クライアントから受信し、ローカルバイオメトリック認証応答をサービスクライアントへ転送し；及び、登録情報応答パケットをサービスクライアントから受信し、登録情報応答パケットをバイオメトリック認証クライアントへ転送し、登録要求パケットをバイオメトリック認証クライアントから受信し、登録要求パケットをサービスクライアントへ転送するように構成されたバイオメトリック認証ミドルウェア。
【００２７】
デバイス情報要求をバイオメトリック認証ミドルウェアから受信し、デバイス情報要求をアイデンティティ認証検出器へ転送し、デバイス情報応答をアイデンティティ認証検出器から受信し、デバイス情報応答をバイオメトリック認証ミドルウェアへ転送し；ローカルバイオメトリック認証要求をバイオメトリック認証ミドルウェアから受信し、ローカルバイオメトリック認証要求の中のバイオメトリックデータを用いてユーザアイデンティティに対してバイオメトリック特徴検証を実行し、検証結果を含むローカルバイオメトリック認証応答をバイオメトリック認証ミドルウェアへ返信し；及び、登録情報応答パケットをバイオメトリック認証ミドルウェアから受信し、登録情報応答パケットをアイデンティティ認証検出器へ転送し、登録要求パケットをアイデンティティ認証検出器から受信し、登録要求パケットをバイオメトリック認証ミドルウェアへ転送するように構成されたバイオメトリック認証クライアント。
【００２８】
バイオメトリック認証クライアントによって転送されるデバイス情報要求を受信した後、デバイスアイデンティティを含むユーザ側装置のデバイス情報を取得し、デバイス情報を含むデバイス情報応答を、バイオメトリック認証クライアントへ返信し；バイオメトリック認証クライアントによって転送される登録情報応答パケットを受信した後、登録情報応答パケットの中のサーバ公開鍵を用いて登録情報応答パケットに対して署名検証を実行し、署名検証に成功した後、最新の成功したローカルバイオメトリック検証においてユーザが使用したバイオメトリックデータに対応するバイオメトリック特徴トークンをトークン・キーマネージャから取得し、対応するサービス公開鍵とサービス秘密鍵とを生成し、仮想アカウントアイデンティティと、バイオメトリック認証タイプと、バイオメトリック認証トークンと、サービス秘密鍵との対応を保存して、デバイスアイデンティティ、仮想アカウントアイデンティティ、バイオメトリック認証タイプ、バイオメトリック特徴トークン、及びサービス公開鍵を、登録要求パケットにカプセル化し、トークン・キーマネージャがユーザ側装置のデバイス秘密鍵を用いて登録要求パケットに署名した後、登録要求パケットをバイオメトリック認証クライアントへ返信するように構成されたアイデンティティ認証検出器。
【００２９】
アイデンティティ認証検出器に、最新の成功したローカルバイオメトリック検証の際にユーザが使用したバイオメトリックデータに対応するバイオメトリック特徴トークンを提供し；及び、登録要求パケットをアイデンティティ認証検出器から受信した後、ユーザ側装置の格納されたデバイス秘密鍵を用いて登録要求パケットに署名し、次いで登録要求パケットをアイデンティティ認証検出器へ返信するように構成されたトークン・キーマネージャ。
【００３０】
本願は、認証サーバに適用される、バイオメトリックアイデンティティを登録するデバイスを提供し、このデバイスは下記を含む。
【００３１】
ユーザ側装置の登録情報要求パケットをサービスサーバから受信し、ここで登録情報要求パケットはサービスアカウントアイデンティティを含み、サービスアカウントアイデンティティに対応する仮想アカウントアイデンティティを生成し、仮想アカウントアイデンティティとサーバ公開鍵とを登録情報応答パケットにカプセル化し、サービスサーバが登録情報応答パケットをユーザ側装置へ転送するよう、サーバ公開鍵に対応するサーバ秘密鍵を用いて登録情報応答パケットに署名した後、登録情報応答パケットをサービスサーバへ送信するように構成された登録情報応答ユニット。
【００３２】
ユーザ側装置の登録要求パケットをサービスサーバから受信し、ユーザ側装置のデバイス暗号化キーを用いて登録要求パケットに署名し、ここで、登録要求パケットは、ユーザ側装置のデバイスアイデンティティ、仮想アカウントアイデンティティ、バイオメトリック認証タイプ、バイオメトリック特徴トークン、及びサービス公開鍵を含み；及び、登録要求パケットをバイオメトリック認証センターサーバへ送信し、デバイスアイデンティティに対応するデバイス公開鍵を用いて登録要求パケットに対して署名検証を実行した後、バイオメトリック認証センターサーバによって返信される署名検証結果を受信するように構成された登録要求受信ユニット。
【００３３】
登録要求パケットに対する署名検証に成功した後、デバイスアイデンティティと、仮想アカウントアイデンティティと、バイオメトリック認証タイプと、バイオメトリック特徴トークンと、サービス公開鍵との対応を保存してアカウントに対してアイデンティティ認証を実行するように構成された登録情報格納ユニット。
【００３４】
本願は、ユーザ側装置に適用される、バイオメトリックアイデンティティを登録するデバイスを提供し、このデバイスは下記を含む。
【００３５】
デバイス情報要求をバイオメトリック認証ミドルウェアへ送信し、デバイスアイデンティティを含んでバイオメトリック認証ミドルウェアによって返信されるデバイス情報応答を受信し；デバイスアイデンティティを含む認証情報要求パケットをサービスサーバへ送信し、サービスサーバによって返信される認証情報応答パケットを受信し、ここで、認証情報応答パケットは、認証サーバによってサーバ秘密鍵を用いて署名され、次いでサービスサーバへ送信され、サーバ秘密鍵に対応するサーバ公開鍵と、デバイスアイデンティティに対応する、サービスサーバによって転送される認証情報要求パケットを受信した後に、認証サーバによって取得される仮想アカウントアイデンティティとを含み；登録の際にユーザが使用したバイオメトリック認証タイプのバイオメトリックデータを取得し、バイオメトリックデータを含むローカルバイオメトリック認証要求を、バイオメトリック認証ミドルウェアへ送信し、ローカルバイオメトリック検証結果を含みバイオメトリック認証ミドルウェアによって返信されるローカルバイオメトリック認証応答を受信し；ローカルバイオメトリック特徴検証結果が成功である場合、認証情報応答パケットをバイオメトリック認証ミドルウェアへ送信し、バイオメトリック認証ミドルウェアによって返信される認証要求パケットを受信し、サービス秘密鍵を用いて認証要求パケットに署名し、ここで、認証要求パケットは、デバイスアイデンティティ、仮想アカウントアイデンティティ、バイオメトリック認証タイプ、及びバイオメトリック特徴トークンを含み；サービスサーバが認証要求パケットを認証サーバへ転送し、認証サーバが仮想アカウントアイデンティティ、デバイスアイデンティティ、及びバイオメトリック認証タイプに対応する登録されたサービス公開鍵と、登録されたバイオメトリック特徴トークンとに基づいてユーザに対してアイデンティティ認証を実行するよう、認証要求パケットをサービスサーバへ送信するように構成されたサービスクライアント。
【００３６】
デバイス情報要求をサービスクライアントから受信して、デバイス情報要求をバイオメトリック認証クライアントへ転送し、デバイス情報応答をバイオメトリック認証クライアントから受信して、デバイス情報応答をサービスクライアントへ転送し；ローカルバイオメトリック認証要求をサービスクライアントから受信して、ローカルバイオメトリック認証要求をバイオメトリック認証クライアントへ転送し、ローカルバイオメトリック認証応答をバイオメトリック認証クライアントから受信して、ローカルバイオメトリック認証応答をサービスクライアントへ転送し；及び、認証情報応答パケットをサービスクライアントから受信して、認証情報応答パケットをバイオメトリック認証クライアントへ転送し、認証要求パケットをバイオメトリック認証クライアントから受信して、認証要求パケットをサービスクライアントへ転送するように構成されたバイオメトリック認証ミドルウェア。
【００３７】
デバイス情報要求をバイオメトリック認証ミドルウェアから受信して、デバイス情報要求をアイデンティティ認証検出器へ転送し、デバイス情報応答をアイデンティティ認証検出器から受信して、デバイス情報応答をバイオメトリック認証ミドルウェアへ転送し；ローカルバイオメトリック認証要求をバイオメトリック認証ミドルウェアから受信して、ローカルバイオメトリック認証要求の中のバイオメトリックデータを用いてユーザアイデンティティに対してバイオメトリック特徴検証を実行し、検証結果を含むローカルバイオメトリック認証応答をバイオメトリック認証ミドルウェアへ返信し；及び、認証情報応答パケットをバイオメトリック認証ミドルウェアから受信して、認証情報応答パケットをアイデンティティ認証検出器へ転送し、認証要求パケットをアイデンティティ認証検出器から受信して、認証要求パケットをバイオメトリック認証ミドルウェアへ転送するように構成されたバイオメトリック認証クライアント。
【００３８】
バイオメトリック認証クライアントによって転送されるデバイス情報要求を受信した後、デバイスアイデンティティを含むユーザ側装置のデバイス情報を取得して、デバイス情報を含むデバイス情報応答をバイオメトリック認証クライアントへ返信し；バイオメトリック認証クライアントによって転送される認証情報応答パケットを受信した後、認証情報応答パケットの中のサーバ公開鍵を用いて認証情報応答パケットに対して署名検証を実行して、署名検証に成功した後、最新の成功したローカルバイオメトリック検証の際にユーザが使用したバイオメトリックデータに対応するバイオメトリック特徴トークンをトークン・キーマネージャから取得して、バイオメトリック認証タイプ、認証情報応答パケットの中の仮想アカウントアイデンティティ、及びバイオメトリック特徴トークンに対応するサービス秘密鍵を、仮想アカウントアイデンティティと、バイオメトリック認証タイプと、バイオメトリック特徴トークンと、サービス秘密鍵との格納された対応から取得して、デバイスアイデンティティ、仮想アカウントアイデンティティ、バイオメトリック認証タイプ、及びバイオメトリック特徴トークンを認証要求パケットにカプセル化して、サービス秘密鍵を用いて認証要求パケットに署名した後、認証要求パケットをバイオメトリック認証クライアントへ返信するように構成されたアイデンティティ認証検出器。
【００３９】
アイデンティティ認証検出器に、最新の成功したローカルバイオメトリック検証の際にユーザが使用したバイオメトリックデータに対応するバイオメトリック特徴トークンを提供するように構成されたトークン・キーマネージャ。
【００４０】
本願は、認証サーバに適用される、バイオメトリックアイデンティティを認証するデバイスを提供し、このデバイスは下記を含む。
【００４１】
ユーザ側装置の認証情報要求パケットをサービスサーバから受信し、ここで、認証情報要求パケットは、ユーザ側装置のデバイスアイデンティティを含み；デバイスアイデンティティに対応する仮想アカウントアイデンティティを取得して、仮想アカウントアイデンティティとサーバ公開鍵とを認証情報応答パケットにカプセル化して、サービスサーバが認証情報応答パケットをユーザ側装置へ転送するよう、サーバ公開鍵に対応するサーバ秘密鍵を用いて認証情報応答パケットに署名した後、認証情報応答パケットをサービスサーバへ送信するように構成された認証情報応答ユニット。
【００４２】
ユーザ側装置の認証要求パケットをサービスサーバから受信して、サービス公開鍵を用いて認証要求パケットに署名し、ここで、認証要求パケットは、ユーザ側装置のデバイス識別子、仮想アカウントアイデンティティ、バイオメトリック認証タイプ、及びバイオメトリック特徴トークンを含み；及び、認証要求パケットの中のデバイスアイデンティティ、仮想アカウントアイデンティティ、及びバイオメトリック認証タイプに対応する登録されたサービス公開鍵と登録されたバイオメトリック特徴トークンとを取得するように構成された認証要求受信ユニット。
【００４３】
登録されたサービス公開鍵を用いて認証要求パケットに対して署名検証を実行して、認証要求パケットの中のバイオメトリック特徴トークンと、登録されたバイオメトリック特徴トークンとに基づいてユーザに対してアイデンティティ認証を実行するように構成された署名検証・認証ユニット。
【００４４】
上記の技術的解決策から分かることであるが、本願の実施において、アイデンティティ登録の際、サービスサーバを検証するためにサーバ公開鍵とサーバ秘密鍵とが用いられる。ユーザ側装置が、デバイスアイデンティティと、仮想アカウントアイデンティティと、バイオメトリック認証タイプと、バイオメトリック特徴トークンと、サービス公開鍵との対応を安全に認証サーバに登録できるよう、ユーザ側装置に予め格納されるデバイス秘密鍵と、サーバに予め格納されるデバイス公開鍵とを用いてユーザ側装置が信頼のおけるものであるかどうかを検証し、これによりアイデンティティ登録のセキュリティを向上させる。アイデンティティ認証の際、サーバ公開鍵とサーバ秘密鍵とを用いてサービスサーバを検証し、サービス秘密鍵と登録されたサービス公開鍵とを用いてユーザ側装置を検証し、ユーザ側装置は、認証をパスするには、登録された情報に照合するデバイスアイデンティティ、仮想アカウントアイデンティティ、バイオメトリック認証タイプ、及びバイオメトリック特徴トークンを提供する必要があり、アイデンティティ認証のセキュリティは大幅に向上する。
【図面の簡単な説明】
【００４５】
【図１】本願の実施による、アプリケーションシナリオのネットワーク構造を示す図である。
【００４６】
【図２】本願の実施１による、ユーザ側装置に適用されるバイオメトリックアイデンティティを登録する方法を示すフローチャートである。
【００４７】
【図３】本願の実施１による、認証サーバに適用されるバイオメトリックアイデンティティを登録する方法を示すフローチャートである。
【００４８】
【図４】本願の実施１による、ユーザ側装置、サービスサーバ、認証サーバ、及びバイオメトリック認証センターサーバ間でのアイデンティティ登録を示す相互作用（インタラクション）フローチャートである。
【００４９】
【図５】本願の実施２による、ユーザ側装置に適用されるバイオメトリックアイデンティティを認証する方法を示すフローチャートである。
【００５０】
【図６】本願の実施２による、認証サーバに適用されるバイオメトリックアイデンティティを認証する方法を示すフローチャートである。
【００５１】
【図７】本願の実施２による、ユーザ側装置、サービスサーバ、及び認証サーバ間でのアイデンティティ認証を示す相互作用（インタラクション）フローチャートである。
【００５２】
【図８】ユーザ側装置又は認証サーバのハードウェア構造を示す図である。
【００５３】
【図９】本願の実施１による、ユーザ側装置に適用されるバイオメトリックアイデンティティを登録するデバイス、又は、ユーザ側装置に適用されるバイオメトリックアイデンティティを認証するデバイスの論理構造を示す図である。
【００５４】
【図１０】本願の実施１による、認証サーバに適用されるバイオメトリックアイデンティティを登録するデバイスの論理構造を示す図である。
【００５５】
【図１１】本願の実施１による、認証サーバに適用されるバイオメトリックアイデンティティを認証するデバイスの論理構造を示す図である。
【発明を実施するための形態】
【００５６】
ユーザ側装置に基づくバイオメトリック識別アプリケーションにおいて、ユーザのバイオメトリックデータがユーザ側装置によって収集され、バイオメトリック識別をユーザ側装置又はサーバ上で実行できる。画像又はビデオデータがサーバにアップロードされる際、通常は、多量のトラフィックが消費されるため、本願の実施において、バイオメトリック識別はユーザ側装置上でなされる。
【００５７】
図１に、本願の実施のアプリケーションシナリオのネットワーク構造を示す。ユーザ側装置とサービスサーバ、及び、サービスサーバと認証サーバは、通信ネットワークを用いて互いにアクセスできる。ユーザ側装置は、バイオメトリック特徴識別機能を有する端末デバイスであり、携帯電話、タブレットコンピュータ、パーソナルコンピュータ（ＰＣ）、又はノートブックなどのデバイスとすることができる。サービスサーバは、ユーザ側装置を使用しているユーザにより開始されたサービス要求（登録及び認証要求を含む）を受信し、対応する応答をユーザ側装置へ送信するために用いられる。認証サーバは、ユーザアカウントアイデンティティを認証するために用いられる。サービスサーバ又は認証サーバは、物理的又は論理的サーバとすることができる、又は、役割が異なる２以上の物理的若しくは論理的サーバが協力して本願の実施におけるサービスサーバ若しくは認証サーバの機能を実施する。本願の実施において、ユーザ側装置、サービスサーバ、及び認証サーバのタイプ、並びに、ユーザ側装置とサービスサーバとの間、及び、サービスサーバと認証サーバとの間の通信ネットワークのタイプ及びプロトコルは限定されない。
【００５８】
本願の実施１は、バイオメトリックアイデンティティを登録する方法を説明する。図２に、この方法をユーザ側装置に適用する工程を示し、図３にこの方法を認証サーバに適用する工程を示す。
【００５９】
本願の実施において、以下のモジュール、即ちサービスクライアント、バイオメトリック認証ミドルウェア、バイオメトリック認証クライアント、アイデンティティ認証検出器、及びトークン・キーマネージャは、ユーザ側装置上で作動する。機能モジュールは、別々のソフトウェア、別々のソフトウェアのコンポーネント、又はソフトウェアとハードウェアの組合せとすることができる。本願の実施において、詳細な実施は限定されない。
【００６０】
本願の実施において、ユーザ側装置はデバイス秘密鍵を格納し、格納された秘密鍵をトークン・キーマネージャが用いる。バイオメトリック認証センターサーバは、ユーザ側装置のデバイスアイデンティティとユーザ側装置のデバイス公開鍵との間の対応を、ローカルに取得できる、又は、別のアクセス可能なネットワーク格納場所から取得できる。ユーザ側装置のデバイス秘密鍵は、そのデバイス公開鍵に対応している。認証サーバは、ネットワークを用いてバイオメトリック認証センターサーバにアクセスすることができる。工場出荷前にデバイス秘密鍵をユーザ側装置へ予め格納できる、又は、ユーザ側装置、バイオメトリック認証センターサーバ、又は別のネットワークノードが、デバイス秘密鍵と、対応するデバイス公開鍵とを生成し、それらを、ユーザ側装置とバイオメトリック認証センターサーバとへ別々に送信して格納する。これは本願の実施において限定されない。
【００６１】
ユーザ側装置上では、ステップ２１０において、サービスクライアントは、デバイス情報要求をバイオメトリック認証ミドルウェアへ送信し、バイオメトリック認証ミドルウェアは、デバイス情報要求をバイオメトリック認証クライアントへ転送し、バイオメトリック認証クライアントは、デバイス情報要求をアイデンティティ認証検出器へ転送し、アイデンティティ認証検出器は、デバイスアイデンティティを含むユーザ側装置のデバイス情報を取得して、デバイス情報を含むデバイス情報応答をバイオメトリック認証クライアントへ返信し、バイオメトリック認証クライアントは、デバイス情報応答をバイオメトリック認証ミドルウェアへ返信し、バイオメトリック認証ミドルウェアは、デバイス情報応答をサービスクライアントへ返信する。
【００６２】
ユーザがユーザ側装置のサービスクライアント上でバイオメトリックアイデンティティを登録する工程を開始すると、サービスクライアントは、バイオメトリック認証ミドルウェアに対してデバイス情報要求を開始し、バイオメトリック認証ミドルウェアは、デバイス情報要求をバイオメトリック認証クライアントへ転送し、バイオメトリック認証クライアントは、デバイス情報要求をアイデンティティ認証検出器へ転送する。
【００６３】
アイデンティティ認証検出器によって取得されるユーザ側装置のデバイス情報には、デバイスアイデンティティ、デバイスモデル、製造業者などが含まれる。ユーザ側装置のハードウェアアイデンティティは、デバイスアイデンティティ、例えば、ユーザ側装置のユニバーサルユニーク識別子（ＵＵＩＤ）、メディアアクセス制御（ＭＡＣ）アドレス、又はＢｌｕｅｔｏｏｔｈ（登録商標）アドレスとして用いることができる。
【００６４】
アイデンティティ認証検出器は、取得されたデバイス情報を含むデバイス情報応答をバイオメトリック認証クライアントへ返信し、バイオメトリック認証クライアントは、デバイス情報応答をバイオメトリック認証ミドルウェアへ返信し、バイオメトリック認証ミドルウェアは、デバイス情報応答をサービスクライアントへ返信する。
【００６５】
ユーザ側装置上では、ステップ２２０において、サービスクライアントがサービスアカウントアイデンティティを含む登録情報要求パケットをサービスサーバへ送信して、サービスサーバによって返信される登録情報応答パケットを受信し、ここで、登録情報応答パケットは、認証サーバによってサーバ秘密鍵を用いて署名され、次いでサービスサーバへ送信される、及び、サーバ秘密鍵に対応するサーバ公開鍵と、サービスアカウントアイデンティティに対応し、サービスサーバによって転送される登録情報要求パケットを受信した後で認証サーバによって生成される仮想アカウントアイデンティティとを含む。
【００６６】
認証サーバ上では、ステップ３１０において、ユーザ側装置の登録情報要求パケットをサービスサーバから受信し、ここで、登録情報要求パケットは、サービスアカウントアイデンティティを含み；サービスアカウントアイデンティティに対応する仮想アカウントアイデンティティを生成して、仮想アカウントアイデンティティとサーバ公開鍵とを登録情報応答パケットにカプセル化し、サービスサーバが登録情報応答パケットをユーザ側装置へ転送するよう、サーバ公開鍵に対応するサーバ秘密鍵を用いて登録情報応答パケットに署名した後で登録情報応答パケットをサービスサーバへ送信する。
【００６７】
ユーザ側装置のサービスクライアントは、登録情報要求パケットをサービスサーバへ送信し、登録情報要求パケットは、サービスアカウントアイデンティティを含む。サービスアカウントアイデンティティは、ユーザアカウントアイデンティティの登録に用いられるサービスサーバに関する一意の情報である。例えば、サービスアカウントアイデンティティは、サービスシステムにおけるユーザアカウントの名称又は番号とすることができる。登録情報要求パケットは、ユーザ側装置のデバイスアイデンティティを更に含むことができる。サービスサーバは、登録情報要求パケットを認証サーバへ転送する。
【００６８】
認証サーバは、それぞれのサービスアカウントを有する様々な異なるサービスシステムに対して認証サービスを提供できる。サービスシステムのサービスアカウントアイデンティティが繰り返される場合に、認証サーバが、異なるユーザアカウントを区別するのが困難になるのを回避するため、認証サーバは、登録情報要求パケットを受信した後、サービスアカウントに対応する（即ち、サービスシステムにおけるサービスアカウントに対応する）仮想アカウントアイデンティティを生成する。仮想アカウントアイデンティティは、認証サーバにおけるサービスシステムのサービスアカウントに一意に対応する。本願の実施において、仮想アカウントアイデンティティを生成する方法は限定されない。例えば、サービスシステムにおけるユーザのサービスシステムアイデンティティとサービスアカウントアイデンティティとを仮想アカウントアイデンティティとして用いることができる。別の例では、認証サーバのデータベースに登録されたサービスシステムのユーザアカウントのインデックスを仮想アカウントアイデンティティとして用いることができる。
【００６９】
注記すべきことであるが、仮想アカウントアイデンティティを生成する方法では、同じサービスシステムの同じサービスアカウントに対して同じ仮想アカウントアイデンティティを生成することが保証できない場合、認証サーバは、登録工程における同じ仮想アカウントアイデンティティをその後のアイデンティティ認証工程における同じサービスシステムの同じユーザアカウントに割り当てるため、生成される仮想アカウントアイデンティティとサービスシステムのサービスアカウントとの対応を格納する（又は仮想アカウントアイデンティティとデバイスアイデンティティとの対応を格納する）必要がある。
【００７０】
認証サーバは、サーバ秘密鍵と、対応するサーバ公開鍵とを予め格納する。仮想アカウントアイデンティティを生成した後、認証サーバは、仮想アカウントアイデンティティとサーバ公開鍵とを登録情報応答パケットにカプセル化し、サーバ秘密鍵を用いて登録情報応答パケットに署名した後、登録情報応答パケットをサービスサーバへ送信する。サービスサーバは、登録情報応答パケットをユーザ側装置のサービスクライアントへ転送する。
【００７１】
ユーザ側装置上では、ステップ２３０において、サービスクライアントはユーザのバイオメトリック認証タイプを特定して、バイオメトリック認証タイプのユーザのバイオメトリックデータを取得し、バイオメトリックデータを含むローカルバイオメトリック認証要求をバイオメトリック認証ミドルウェアへ送信し；バイオメトリック認証ミドルウェアは、ローカルバイオメトリック認証要求をバイオメトリック認証クライアントへ転送し；バイオメトリック認証クライアントは、バイオメトリックデータを用いてユーザアイデンティティに対してバイオメトリック特徴検証を実行して、検証結果を含むローカルバイオメトリック認証応答をバイオメトリック認証ミドルウェアへ返信し；バイオメトリック認証ミドルウェアは、ローカルバイオメトリック認証応答をサービスクライアントへ返信する。
【００７２】
サービスクライアントは、サービスシステムにおけるアイデンティティ認証の際にユーザが使用したバイオメトリック認証タイプを特定し、このタイプのバイオメトリックデータを提供するようユーザに要求する。サービスクライアントは、所定の優先順位に基づきユーザ側装置によってサポートされているバイオメトリック認証タイプの１つを選択できる（即ち、ユーザ側装置はバイオメトリック特徴識別機能を有する）；又は、ユーザ側装置によってサポートされサービスシステムによって受け入れられる幾つかのバイオメトリック認証タイプを、選択のためにユーザに提示できる。これは本願の実施において限定されない。バイオメトリック認証タイプは、指紋、音声、虹彩、顔などとすることができる。
【００７３】
ユーザのバイオメトリックデータは、サービスクライアントによって特定されたバイオメトリック認証タイプの中でユーザ側装置が識別できるいずれか特有なオブジェクトとすることができる。例えば、バイオメトリックデータを、いずれかの手指の指紋とすることもでき、どちらかの眼の虹彩とすることもできる。
【００７４】
特定されたバイオメトリック認証タイプのバイオメトリックデータを取得した後、サービスクライアントは、バイオメトリックデータを含むローカルバイオメトリック認証要求をバイオメトリック認証ミドルウェアへ送信し、バイオメトリック認証ミドルウェアは、ローカルバイオメトリック認証要求をバイオメトリック認証クライアントへ転送する。
【００７５】
バイオメトリック認証クライアントは、バイオメトリックデータを用いてユーザアイデンティティに対してバイオメトリック特徴検証を実行する。バイオメトリック特徴検証の詳細な方法については、既存の技術におけるユーザ側装置のバイオメトリック特徴識別方法を参照できる。例えば、バイオメトリックデータは、ローカルに予め格納されたユーザ側装置のサンプルデータと比較することができ；照合度がある所定の条件を満たす場合、バイオメトリック特徴検証は成功である。検証を終えた後、バイオメトリック認証クライアントは、検証に成功したかどうかを示す検証結果を含むローカルバイオメトリック認証応答を、バイオメトリック認証ミドルウェアへ返信し、バイオメトリック認証ミドルウェアは、ローカルバイオメトリック認証応答をサービスクライアントへ返信する。
【００７６】
ユーザ側装置上では、ステップ２４０において、ローカルバイオメトリック特徴検証結果が成功である場合、サービスクライアントが、登録情報応答パケットをバイオメトリック認証ミドルウェアへ送信し、バイオメトリック認証ミドルウェアは、登録情報応答パケットをバイオメトリック認証クライアントへ転送する。バイオメトリック認証クライアントは、登録情報応答パケットをアイデンティティ認証検出器へ転送する。更に、アイデンティティ認証検出器は、サーバ公開鍵を用いて登録情報応答パケットに対して署名検証を実行して、対応するサービス公開鍵とサービス秘密鍵とを生成するため、署名検証に成功した後、最新の成功したローカルバイオメトリック検証の際にユーザが使用したバイオメトリックデータに対応するバイオメトリック特徴トークンを、トークン・キーマネージャから取得して、仮想アカウントアイデンティティと、バイオメトリック認証タイプと、バイオメトリック認証トークンと、サービス秘密鍵との対応を保存する。アイデンティティ認証検出器は、デバイスアイデンティティ、仮想アカウントアイデンティティ、バイオメトリック認証タイプ、バイオメトリック特徴トークン、及びサービス公開鍵を、登録要求パケットにカプセル化して、トークン・キーマネージャがユーザ側装置のデバイス秘密鍵を用いて登録要求パケットに署名した後、登録要求パケットをバイオメトリック認証クライアントへ返信する。バイオメトリック認証クライアントは、登録要求パケットをバイオメトリック認証ミドルウェアへ返信し、バイオメトリック認証ミドルウェアは、登録要求パケットをサービスクライアントへ返信する。
【００７７】
サービスクライアントは、バイオメトリック認証ミドルウェアによって返信されるローカルバイオメトリック認証応答からローカルバイオメトリック特徴検証結果を抽出する。結果が失敗を示している場合、アイデンティティ登録工程は失敗である。ローカルバイオメトリック特徴検証結果が成功を示している場合、サービスクライアントは、登録情報応答パケットをバイオメトリック認証ミドルウェアへ送信し、バイオメトリック認証ミドルウェアは、登録情報応答パケットをバイオメトリック認証クライアントへ転送し、バイオメトリック認証クライアントは、登録情報応答パケットをアイデンティティ認証検出器へ転送する。
【００７８】
アイデンティティ認証検出器は、登録情報応答パケットからサーバ公開鍵を抽出し、サーバ公開鍵を用いて登録情報応答パケットに対して署名検証を実行する。署名検証に失敗した場合、それは、登録情報応答パケットがおそらく信頼のおける認証サーバからのものではないことを意味し、登録工程は失敗である。署名検証に成功した後、アイデンティティ認証検出器は、トークン・キーマネージャにバイオメトリック特徴トークンを要求する。トークン・キーマネージャは、最新のローカルバイオメトリック特徴検証の際にユーザが使用したバイオメトリックデータ（即ち、ステップ２３０におけるローカルバイオメトリック特徴検証を実行した際にサービスクライアントによって取得されたバイオメトリックデータ）に対応するバイオメトリック特徴トークンをアイデンティティ認証検出器へ返信する。
【００７９】
バイオメトリック特徴トークンは、バイオメトリックデータの検証に用いられるサンプルデータに一意に対応するユーザ側装置の特徴量又は指標値である。即ち、ユーザの複数の指紋は、異なるバイオメトリック特徴トークンに対応し、顔は、別の異なるバイオメトリック特徴トークンに対応する。ユーザが親指を使ってバイオメトリック特徴検証を実行するたびに、親指指紋のサンプルデータを用いて、ユーザ側装置によって収集された親指指紋データを検証する。したがって、親指指紋データは、同じバイオメトリック特徴トークンに対応している。バイオメトリック特徴トークンの形態と、バイオメトリック特徴トークンを生成する詳細な方法とは、本願において限定されない。例えば、バイオメトリック特徴トークンは、ダイジェストアルゴリズムをサンプルデータ若しくはサンプルデータの一部に適用して取得される情報ダイジェストとすることができる、又は、サンプルデータに対応する乱数とすることができる。
【００８０】
アイデンティティ認証検出器は：互いに対応するサービス公開鍵とサービス秘密鍵とを生成し；登録情報応答パケットの中の仮想アカウントアイデンティティと、最新の成功したローカルバイオメトリック検証の際にユーザが使用したバイオメトリック認証タイプと、トークン・キーマネージャによって返信されたバイオメトリック特徴トークンと、生成されたサービス秘密鍵との対応を保存する。アイデンティティ認証検出器は、デバイスアイデンティティ、仮想アカウントアイデンティティ、バイオメトリック認証タイプ、バイオメトリック特徴トークン、及びサービス公開鍵を、登録要求パケットにカプセル化して、登録要求パケットをトークン・キーマネージャへ送信する。トークン・キーマネージャは、ユーザ側装置の格納されたデバイス秘密鍵を読み取り、デバイス秘密鍵を用いて登録要求パケットに署名した後、登録要求パケットをバイオメトリック認証クライアントへ返信する。
【００８１】
バイオメトリック認証クライアントは、登録要求パケットをバイオメトリック認証ミドルウェアへ返信し、バイオメトリック認証ミドルウェアは、登録要求パケットをサービスクライアントへ返信する。
【００８２】
ユーザ側装置上では、ステップ２５０において、サービスクライアントが、登録要求パケットをサービスサーバへ送信し、バイオメトリック認証センターサーバが、ユーザ側装置のデバイス公開鍵を用いて登録要求パケットに対して署名検証を実行した後、認証サーバが、ユーザアカウントに対してアイデンティティ認証を実行するため、デバイスアイデンティティと、仮想アカウントアイデンティティと、バイオメトリック認証タイプと、バイオメトリック特徴トークンと、サービス公開鍵との対応を保存するよう、サービスサーバが、登録要求パケットを認証サーバへ転送する。
【００８３】
認証サーバ上では、ステップ３２０において、ユーザ側装置の登録要求パケットをサービスサーバから受信して、ユーザ側装置のデバイス暗号化キーを用いて登録要求パケットに署名し、ここで、登録要求パケットは、ユーザ側装置のデバイスアイデンティティ、仮想アカウントアイデンティティ、バイオメトリック認証タイプ、バイオメトリック特徴トークン、及びサービス公開鍵を含み；及び、登録要求パケットをバイオメトリック認証センターサーバへ送信して、デバイスアイデンティティに対応するデバイス公開鍵を用いて登録要求パケットに対して署名検証を実行した後、バイオメトリック認証センターサーバによって返信される署名検証結果を受信する。
【００８４】
認証サーバ上では、ステップ３３０において、ユーザアカウントに対してアイデンティティ認証を実行するため、登録要求パケットに対する署名検証に成功した後、デバイスアイデンティティと、仮想アカウントアイデンティティと、バイオメトリック認証タイプと、バイオメトリック特徴トークンと、サービス公開鍵との対応を保存する。
【００８５】
サービスクライアントは、バイオメトリック認証ミドルウェアによって返信される登録要求パケットをサービスサーバへ送信する。サービスサーバは、登録要求パケットを認証サーバへ転送する。
【００８６】
認証サーバは、登録要求パケットをバイオメトリック認証センターサーバへ送信する。バイオメトリック認証センターサーバは、受信される登録要求パケットからデバイスアイデンティティを抽出して、デバイスアイデンティティに対応するデバイス公開鍵を求めてアクセス可能なネットワーク格納場所を検索し、デバイス公開鍵を用いて登録要求パケットに対して署名検証を実行して、署名検証結果を認証サーバへ送信する。
【００８７】
署名検証に失敗した場合、認証サーバは登録要求を拒否して、サービスサーバに知らせ、サービスサーバは、登録失敗結果をサービスクライアントに通知する。署名検証に成功した場合、認証サーバは、デバイスアイデンティティと、仮想アカウントアイデンティティと、バイオメトリック認証タイプと、バイオメトリック特徴トークンと、サービス公開鍵との対応を登録要求パケットに保存する。
【００８８】
認証サーバは、登録成功を示す登録応答パケットをサービスサーバへ返信でき、サービスサーバは、ユーザ側装置のサービスクライアントに登録成功メッセージを通知する。認証サーバは、対応の、仮想アカウントアイデンティティとバイオメトリック認証タイプ、及び仮想アカウントアイデンティティに対応するサービスアカウントアイデンティティを登録応答パケットに追加でき、サービスサーバは、サービスアカウントアイデンティティと、仮想アカウントアイデンティティと、バイオメトリック認証タイプとの対応を登録応答パケットに保存する。
【００８９】
実施において、登録情報要求パケットを受信した後、認証サーバは、仮想アカウントの仮想アカウントアイデンティティと登録検証コードとを生成できる。登録検証コードを生成する方法は、様々なワンタイムパスワード生成アルゴリズムを用いて行える。これは、本実施において限定されない。認証サーバは、仮想アカウントアイデンティティと、サーバ公開鍵と、生成された登録検証コードとを登録情報応答パケットにカプセル化し、この登録情報応答パケットをサービスサーバへ送信して、計時を開始する。登録要求パケットを生成する際、ユーザ側装置のアイデンティティ認証検出器は、登録情報応答パケットの中の登録検証コードも登録要求パケットにカプセル化する。認証サーバは、サービスサーバによって転送される登録要求パケットを受信して、登録要求パケットの中の登録検証コードを登録要求パケットの中の仮想アカウント用に生成された登録検証コードと比較して、登録情報応答パケットの送信と登録要求パケットの受信との時間差を取得する。この２つの登録検証コードが異なる場合、又は、時間差が第１の所定時間幅を超える場合、認証サーバは登録要求を拒否して、サービスサーバに知らせ、サービスサーバは、サービスクライアントへ登録失敗結果を通知する。この２つの登録検証コードが同じであり時間差が第１の所定時間幅を超えない場合、認証サーバは、デバイスアイデンティティと、仮想アカウントアイデンティティと、バイオメトリック認証タイプと、バイオメトリック特徴トークンと、サービス公開鍵との対応を登録要求パケットに保存する。
【００９０】
図４に示すのは、登録検証コードを含む実施における、ユーザ側装置の様々な機能モジュール、サービスサーバ、認証サーバ、及びバイオメトリック認証センターサーバの間の相互作用工程である。
【００９１】
本願の実施１において、ユーザ側装置に予め格納されたデバイス秘密鍵とデバイス公開鍵とを用いてユーザ側装置が信頼のおけるデバイスであることを確保する。サーバ公開鍵とサーバ秘密鍵とを用いてサービスサーバの信頼性を検証する。そのため、ユーザ側装置のデバイスアイデンティティと、仮想アカウントアイデンティティと、バイオメトリック認証タイプと、バイオメトリック特徴トークンと、サービス公開鍵との対応をその後のアイデンティティ認証のために認証サーバに安全に登録し、それによりアイデンティティ登録のセキュリティを向上させることができる。
【００９２】
本願の実施２は、バイオメトリックアイデンティティを認証する方法を記載する。図５に、この方法をユーザ側装置に適用する工程を示し、図６に、この方法を認証サーバに適用する工程を示す。実施２におけるアイデンティティ認証工程は、実施１におけるアイデンティティ登録工程と同じ技術的手段を用いる。以下、実施２と実施１との差異のみを記載する。同じ内容については、実施１を参照できる。簡略化のため、ここでは詳細を省略する。
【００９３】
ユーザ側装置上では、ステップ５１０において、サービスクライアントが、デバイス情報要求をバイオメトリック認証ミドルウェアへ送信し、バイオメトリック認証ミドルウェアが、デバイス情報要求をバイオメトリック認証クライアントへ転送し、バイオメトリック認証クライアントが、デバイス情報要求をアイデンティティ認証検出器へ転送し、アイデンティティ認証検出器が、デバイスアイデンティティを含むユーザ側装置のデバイス情報を取得して、デバイス情報を含むデバイス情報応答をバイオメトリック認証クライアントへ返信し、バイオメトリック認証クライアントが、デバイス情報応答をバイオメトリック認証ミドルウェアへ返信し、バイオメトリック認証ミドルウェアが、デバイス情報応答をサービスクライアントへ返信する。
【００９４】
ユーザがユーザ側装置のサービスクライアント上でバイオメトリックアイデンティティを認証する工程を開始すると、サービスクライアントが、バイオメトリック認証ミドルウェアに対してデバイス情報要求を開始し、バイオメトリック認証ミドルウェアが、デバイス情報要求をバイオメトリック認証クライアントへ転送し、バイオメトリック認証クライアントが、デバイス情報要求をアイデンティティ認証検出器へ転送する。
【００９５】
アイデンティティ認証検出器によって取得されるユーザ側装置のデバイス情報は、デバイスアイデンティティ、デバイスモデル、製造業者などを含む。アイデンティティ認証検出器が、取得されたデバイス情報を含むデバイス情報応答をバイオメトリック認証クライアントへ返信し、バイオメトリック認証クライアントが、デバイス情報応答をバイオメトリック認証ミドルウェアへ返信し、バイオメトリック認証ミドルウェアが、デバイス情報応答をサービスクライアントへ返信する。
【００９６】
ユーザ側装置上では、ステップ５２０において、サービスクライアントが、デバイスアイデンティティを含む認証情報要求パケットをサービスサーバへ送信して、サービスサーバによって返信される認証情報応答パケットを受信し、ここで、認証情報応答パケットは、認証サーバによってサーバ秘密鍵を用いて署名され、次いでサービスサーバへ送信される、及び、サーバ秘密鍵に対応するサーバ公開鍵と、デバイスアイデンティティに対応し、サービスサーバによって転送される認証情報要求パケットを受信した後で認証サーバによって取得される仮想アカウントアイデンティティとを含む。
【００９７】
認証サーバ上では、ステップ６１０において、ユーザ側装置の認証情報要求パケットをサービスサーバから受信し、ここで、認証情報要求パケットは、ユーザ側装置のデバイスアイデンティティを含み；デバイスアイデンティティに対応する仮想アカウントアイデンティティを取得して、仮想アカウントアイデンティティとサーバ公開鍵とを認証情報応答パケットにカプセル化し、サービスサーバが認証情報応答パケットをユーザ側装置へ転送するよう、サーバ公開鍵に対応するサーバ秘密鍵を用いて認証情報応答パケットに署名した後、認証情報応答パケットをサービスサーバへ送信する。
【００９８】
ユーザ側装置のサービスクライアントが、認証情報要求パケットをサービスサーバへ送信し、認証情報要求パケットは、ユーザ側装置のデバイスアイデンティティを含む。認証情報要求パケットは、ユーザのサービスアカウントアイデンティティを更に含むことができる。サービスサーバが、認証情報要求パケットを認証サーバへ転送する。
【００９９】
実施１のアイデンティティ登録工程において、認証サーバは、デバイスアイデンティティと、仮想アカウントアイデンティティと、バイオメトリック認証タイプと、バイオメトリック特徴トークンと、サービス公開鍵との対応をローカルに格納する、又は、別のアクセス可能なネットワーク格納場所に格納する。格納されるデバイスアイデンティティ、仮想アカウントアイデンティティ、バイオメトリック認証タイプ、バイオメトリック特徴トークン、及びサービス公開鍵は、実施２における登録されたデバイスアイデンティティ、登録された仮想アカウントアイデンティティ、登録されたバイオメトリック認証タイプ、登録されたバイオメトリック特徴トークン、及び登録されたサービス公開鍵である。
【０１００】
サービスサーバによって転送される認証要求パケットを受信した後、認証サーバは、ユーザ側装置のデバイスアイデンティティを抽出して、デバイスアイデンティティに対応する登録された仮想アカウントアイデンティティを検索し、見つかった仮想アカウントアイデンティティとサーバ公開鍵とを認証情報応答パケットにカプセル化して、サーバ公開鍵に対応するサーバ秘密鍵を用いて認証情報応答パケットに署名した後、認証情報応答パケットをサービスサーバへ送信する。サービスサーバは、認証情報応答パケットをユーザ側装置へ転送する。
【０１０１】
ユーザ側装置上では、ステップ５３０において、サービスクライアントは、登録の際にユーザが使用したバイオメトリック認証タイプのバイオメトリックデータを取得して、バイオメトリックデータを含むローカルバイオメトリック認証要求をバイオメトリック認証ミドルウェアへ送信し；バイオメトリック認証ミドルウェアは、ローカルバイオメトリック認証要求をバイオメトリック認証クライアントへ転送し；バイオメトリック認証クライアントは、バイオメトリックデータを用いてユーザアイデンティティに対してバイオメトリック特徴検証を実行して、検証結果を含むローカルバイオメトリック認証応答をバイオメトリック認証ミドルウェアへ返信し；バイオメトリック認証ミドルウェアは、ローカルバイオメトリック認証応答をサービスクライアントへ返信する。
【０１０２】
アイデンティティ登録工程において特定されたバイオメトリック認証タイプに基づき、サービスクライアントは、ユーザによって提供されるバイオメトリック認証タイプのバイオメトリックデータを要求し、これを取得する。サービスクライアントは、ユーザのバイオメトリックデータをローカルバイオメトリック認証要求にカプセル化して、ローカルバイオメトリック認証要求をバイオメトリック認証ミドルウェアへ送信し；バイオメトリック認証ミドルウェアは、ローカルバイオメトリック認証要求をバイオメトリック認証クライアントへ送信する。
【０１０３】
バイオメトリック認証クライアントは、バイオメトリック認証要求の中のバイオメトリックデータを用いてユーザアイデンティティに対してバイオメトリック特徴検証を実行する。検証を終えた後、バイオメトリック認証クライアントは、検証に成功したかどうかを示す検証結果を含むローカルバイオメトリック認証応答をバイオメトリック認証ミドルウェアへ返信し、バイオメトリック認証ミドルウェアは、ローカルバイオメトリック認証応答をサービスクライアントへ返信する。
【０１０４】
ユーザ側装置上では、ステップ５４０において、ローカルバイオメトリック特徴検証結果が成功である場合、サービスクライアントは、認証情報応答パケットをバイオメトリック認証ミドルウェアへ送信し、バイオメトリック認証ミドルウェアは、認証情報応答パケットをバイオメトリック認証クライアントへ転送する。バイオメトリック認証クライアントは、認証情報応答パケットをアイデンティティ認証検出器へ転送する。アイデンティティ認証検出器は、サーバ公開鍵を用いて認証情報応答パケットに対して署名検証を実行し、署名検証に成功した後、最新の成功したローカルバイオメトリック検証においてユーザが使用したバイオメトリックデータに対応するバイオメトリック特徴トークンをトークン・キーマネージャから取得して、バイオメトリック認証タイプ、認証情報応答パケットの中の仮想アカウントアイデンティティ、及びバイオメトリック特徴トークンに対応するサービス秘密鍵を、仮想アカウントアイデンティティと、バイオメトリック認証タイプと、バイオメトリック特徴トークンと、サービス秘密鍵との格納された対応から取得して、デバイスアイデンティティ、仮想アカウントアイデンティティ、バイオメトリック認証タイプ、及びバイオメトリック特徴トークンを、認証要求パケットにカプセル化して、サービス秘密鍵を用いて認証要求パケットに署名した後、認証要求パケットをバイオメトリック認証クライアントへ返信する。バイオメトリック認証クライアントは、認証要求パケットをバイオメトリック認証ミドルウェアへ返信し、バイオメトリック認証ミドルウェアは、認証要求パケットをサービスクライアントへ返信する。
【０１０５】
サービスクライアントは、バイオメトリック認証ミドルウェアによって返信されるローカルバイオメトリック認証応答からローカルバイオメトリック特徴検証結果を抽出する。結果が失敗を示している場合、アイデンティティ認証工程は失敗である。ローカルバイオメトリック特徴検証結果が成功を示している場合、サービスクライアントは、認証情報応答パケットをバイオメトリック認証ミドルウェアへ送信し、バイオメトリック認証ミドルウェアは、認証情報応答パケットをバイオメトリック認証クライアントへ転送し、バイオメトリック認証クライアントは、認証情報応答パケットをアイデンティティ認証検出器へ転送する。
【０１０６】
アイデンティティ認証検出器は、認証情報応答パケットからサーバ公開鍵を抽出し、サーバ公開鍵を用いて認証情報応答パケットに対して署名検証を実行する。署名検証に失敗した場合、それは、認証情報応答パケットがおそらく信頼のおける認証サーバからのものではないことを意味し、認証工程は失敗である。署名検証に成功した後、アイデンティティ認証検出器は、トークン・キーマネージャにバイオメトリック特徴トークンを要求する。トークン・キーマネージャは、最新のローカルバイオメトリック特徴検証の際にユーザが使用したバイオメトリックデータ（即ち、ステップ５３０におけるローカルバイオメトリック特徴検証を実行した際にサービスクライアントによって取得されたバイオメトリックデータ）に対応するバイオメトリック特徴トークンをアイデンティティ認証検出器へ返信する。
【０１０７】
アイデンティティ認証検出器は、ユーザ側装置のデバイスアイデンティティと、認証情報応答パケットから抽出される仮想アカウントアイデンティティと、最新の成功したローカルバイオメトリック特徴検証の際に用いられたバイオメトリック認証タイプと、トークン・キーマネージャによって返信されたバイオメトリック特徴トークンとを、認証要求パケットにカプセル化する。アイデンティティ認証検出器は、最新の成功したローカルバイオメトリック特徴検証の際に使用されたバイオメトリック認証タイプに対応するサービス秘密鍵、認証情報応答パケットの中の仮想アカウントアイデンティティ、及びトークン・キーマネージャによって返信されたバイオメトリック特徴トークンを、格納された仮想アカウントアイデンティティと、格納されたバイオメトリック認証タイプと、格納されたバイオメトリック特徴トークンと、サービス秘密鍵との対応から見つけ、サービス秘密鍵を用いて認証要求パケットに署名した後、認証要求パケットをバイオメトリック認証クライアントへ返信する。
【０１０８】
バイオメトリック認証クライアントは、認証要求パケットをバイオメトリック認証ミドルウェアへ返信し、バイオメトリック認証ミドルウェアは、認証要求パケットをサービスクライアントへ返信する。
【０１０９】
ユーザ側装置上では、ステップ５５０において、サービスサーバが、認証要求パケットを認証サーバへ転送し、認証サーバが、仮想アカウントアイデンティティ、デバイスアイデンティティ、及びバイオメトリック認証タイプに対応する登録されたサービス公開鍵と登録されたバイオメトリック特徴トークンとに基づきユーザに対してアイデンティティ認証を実行するよう、サービスクライアントが、認証要求パケットをサービスサーバへ送信する。
【０１１０】
認証サーバ上では、ステップ６２０において、ユーザ側装置の認証要求パケットをサービスサーバから受信して、サービス公開鍵を用いて認証要求パケットに署名し、ここで、認証要求パケットは、ユーザ側装置のデバイス識別子、仮想アカウントアイデンティティ、バイオメトリック認証タイプ、及びバイオメトリック特徴トークンを含み；認証要求パケットの中のデバイスアイデンティティ、仮想アカウントアイデンティティ、及びバイオメトリック認証タイプに対応する登録されたサービス公開鍵と登録されたバイオメトリック特徴トークンとを取得する。
【０１１１】
認証サーバ上では、ステップ６３０において、登録されたサービス公開鍵を用いて認証要求パケットに対して署名検証を実行して、認証要求パケットの中のバイオメトリック特徴トークンと、登録されたバイオメトリック特徴トークンとに基づきユーザに対してアイデンティティ認証を実行する。
【０１１２】
サービスクライアントは、バイオメトリック認証ミドルウェアによって返信される認証要求パケットをサービスサーバへ送信する。サービスサーバは、認証要求パケットを認証サーバへ転送する。認証サーバは、認証要求パケットの中の仮想アカウントアイデンティティ、デバイスアイデンティティ、及びバイオメトリック認証タイプに対応する登録されたサービス公開鍵と登録されたバイオメトリック特徴トークンとを、登録されたデバイスアイデンティティと、登録された仮想アカウントアイデンティティと、登録されたバイオメトリック認証タイプと、登録されたバイオメトリック特徴トークンと、登録されたサービス公開鍵との格納された対応から検索する。
【０１１３】
認証サーバは、認証要求パケットの中のバイオメトリック特徴トークンを、登録されたバイオメトリック特徴トークンと比較し、登録されたサービス公開鍵を用いて認証要求パケットに対して署名検証を実行する。この２つのバイオメトリック特徴トークンが異なる場合、又は、署名検証に失敗した場合、認証サーバは認証要求を拒否して、サービスサーバに知らせ、サービスサーバは、サービスクライアントに認証失敗結果を通知する。この２つのバイオメトリック特徴トークンが同じであり署名検証に成功した場合、ユーザはアイデンティティ認証をパスし、認証サーバは、アイデンティティ認証成功結果を含む認証応答パケットをサービスサーバへ返信する。サービスサーバは、アイデンティティ認証成功結果に基づき、対応するサービス処理を実行し、サービスクライアントにアイデンティティ認証成功結果及び／又はサービス処理結果を通知できる。
【０１１４】
実施において、認証情報要求パケットを受信した後、認証サーバは、認証情報要求パケットの中のデバイスアイデンティティに対応する仮想アカウントの認証検証コードを生成できる。認証サーバは、仮想アカウントアイデンティティと、サーバ公開鍵と、生成される認証検証コードとを認証情報応答パケットにカプセル化して、認証情報応答パケットをサービスサーバへ送信し、計時を開始する。認証要求パケットを生成する際、ユーザ側装置のアイデンティティ認証検出器は、認証情報応答パケットの中の認証検証コードも認証要求パケットにカプセル化する。認証サーバは、サービスサーバによって転送される認証要求パケットを受信して、認証要求パケットの中の認証検証コードを認証要求パケットの中の仮想アカウント用に生成された認証検証コードと比較し、認証情報応答パケットの送信と認証要求パケットの受信との時間差を取得する。この２つの認証検証コードが異なる場合、又は、時間差が第２の所定時間幅を超える場合、認証サーバは認証要求を拒否して、サービスサーバに知らせ、サービスサーバは、サービスクライアントに認証失敗結果を通知する。この２つの認証検証コードが異なり、時間差が第２の所定時間幅を超えない場合、認証サーバは、登録されたサービス公開鍵を用いて認証要求パケットに対して署名検証を実行して、認証要求パケットの中のバイオメトリック特徴トークンと、登録されたバイオメトリック特徴トークンとに基づいて、ユーザに対してアイデンティティ認証を実行する。
【０１１５】
図７に、認証検証コードを含む実施における、ユーザ側装置の様々な機能モジュール、サービスサーバ、認証サーバ、及びバイオメトリック認証センターサーバの間の相互作用工程を示す。
【０１１６】
本願の実施２では、ユーザ側装置に予め格納されたデバイス秘密鍵とデバイス公開鍵とを用いて、ユーザ側装置が信頼のおけるデバイスであることを確保している。サーバ公開鍵とサーバ秘密鍵とを用いて、サービスサーバの信頼性を検証する。そのため、ユーザ側装置のデバイスアイデンティティと、仮想アカウントアイデンティティと、バイオメトリック認証タイプと、バイオメトリック特徴トークンと、サービス公開鍵との対応をその後のアイデンティティ認証のために認証サーバに安全に登録し、それによりアイデンティティ登録のセキュリティを向上させることができる。
【０１１７】
本願の実施２では、サーバ公開鍵とサーバ秘密鍵とを用いてサービスサーバを検証し、サービス秘密鍵と登録されたサービス公開鍵とを用いてユーザ側装置を検証し、ユーザ側装置は、認証をパスするには、登録された情報に照合するデバイスアイデンティティ、仮想アカウントアイデンティティ、バイオメトリック認証タイプ、及びバイオメトリック特徴トークンを提供する必要があり、その結果、アイデンティティ認証工程は高度に安全になる。
【０１１８】
上記の２つの実施において、アイデンティティ認証検出器及びトークン・キーマネージャは、ユーザ側装置の安全な環境で作動して登録及び認証のセキュリティを向上させることができる。例えば、アイデンティティ認証検出器、トークン・キーマネージャ、及び別のソフトウェアモジュール（例えば、工程又はスレッド）は独立して作動でき、他のソフトウェアモジュールは、これらのキャッシュ空間にアクセスすることが許されない（この２つのモジュールも独立して作動することができ、互いのキャッシュ空間にアクセスすることが許されない）。別の例では、アイデンティティ認証検出器及びトークン・キーマネージャのコード及び格納されるファイルは、ユーザ側装置のセキュリティレベルが最も高くアクセス制御が最も厳しい格納領域に格納される。
【０１１９】
上記の工程の実施に対応して、本願の実施は、ユーザ側装置に適用されるバイオメトリックアイデンティティを登録するデバイスと；認証サーバに適用されるバイオメトリックアイデンティティを登録するデバイスと；ユーザ側装置に適用されるバイオメトリックアイデンティティを認証するデバイスと；認証サーバに適用されるバイオメトリックアイデンティティを認証するデバイスとを更に提供する。これらのデバイスは、ソフトウェア、ハードウェア、又はソフトウェアとハードウェアの組合せを用いて実施できる。ソフトウェアの実施を例に取ると、ユーザ側装置又は認証サーバの中央処理ユニット（ＣＰＵ）が、対応するコンピュータプログラム指令を作動のためにメモリに読み込むことにより論理デバイスが形成される。ハードウェアの観点からすると、図８に示すＣＰＵ、メモリ、及び不揮発性メモリに加え、ユーザ側装置は通常他のハードウェア、例えばワイヤレス信号を送受信するためのチップを含み、認証サーバは通常、他のハードウェア、例えばネットワーク通信機能を実施するためのボードを含む。
【０１２０】
図９は、本願の実施による、バイオメトリックアイデンティティを登録するデバイスを示す。このデバイスはユーザ側装置に適用され、サービスクライアント、バイオメトリック認証ミドルウェア、バイオメトリック認証クライアント、アイデンティティ認証検出器、及びトークン・キーマネージャを含む。
【０１２１】
サービスクライアントは：デバイス情報要求をバイオメトリック認証ミドルウェアへ送信して、デバイスアイデンティティを含んでバイオメトリック認証ミドルウェアによって返信されるデバイス情報応答を受信し；サービスアカウントアイデンティティを含む登録情報要求パケットをサービスサーバへ送信して、サービスサーバによって返信される登録情報応答パケットを受信し、ここで、登録情報応答パケットは、サーバ秘密鍵を用いて認証サーバによって署名され、次いでサービスサーバへ送信される、及び、サービスアカウントアイデンティティに対応し、サービスサーバによって転送される登録情報要求パケットを受信した後で認証サーバによって生成される仮想アカウントアイデンティティと、サーバ秘密鍵に対応するサーバ公開鍵とを含み；ユーザのバイオメトリック認証タイプを特定して、バイオメトリック認証タイプのユーザのバイオメトリックデータを取得し、バイオメトリックデータを含むローカルバイオメトリック認証要求をバイオメトリック認証ミドルウェアへ送信して、ローカルバイオメトリック検証結果を含みバイオメトリック認証ミドルウェアによって返信されるローカルバイオメトリック認証応答を受信し；ローカルバイオメトリック特徴検証結果が成功である場合、登録情報応答パケットをバイオメトリック認証ミドルウェアへ送信して、バイオメトリック認証ミドルウェアによって返信される登録要求パケットを受信し、ユーザ側装置のデバイス秘密鍵を用いて登録要求パケットに署名し、ここで、登録要求パケットは、デバイスアイデンティティ、仮想アカウントアイデンティティ、バイオメトリック認証タイプ、バイオメトリック特徴トークン、及びサービス公開鍵を含み；サービスサーバが登録要求パケットを認証サーバへ転送し、バイオメトリック認証センターサーバがユーザ側装置のデバイス公開鍵を用いて登録要求パケットに対して署名検証を実行した後、認証サーバがアカウントに対してアイデンティティ認証を実行するため、デバイスアイデンティティと、仮想アカウントアイデンティティと、バイオメトリック特徴タイプと、バイオメトリック特徴トークンと、サービス公開鍵との対応を保存するよう、登録要求パケットをサービスサーバへ送信するように構成される。
【０１２２】
バイオメトリック認証ミドルウェアは：デバイス情報要求をサービスクライアントから受信して、デバイス情報要求をバイオメトリック認証クライアントへ転送し、デバイス情報応答をバイオメトリック認証クライアントから受信して、デバイス情報応答をサービスクライアントへ転送し；ローカルバイオメトリック認証要求をサービスクライアントから受信して、ローカルバイオメトリック認証要求をバイオメトリック認証クライアントへ転送し、ローカルバイオメトリック認証応答をバイオメトリック認証クライアントから受信して、ローカルバイオメトリック認証応答をサービスクライアントへ転送し；及び、登録情報応答パケットをサービスクライアントから受信して、登録情報応答パケットをバイオメトリック認証クライアントへ転送し、登録要求パケットをバイオメトリック認証クライアントから受信して、登録要求パケットをサービスクライアントへ転送するように構成される。
【０１２３】
バイオメトリック認証クライアントは：デバイス情報要求をバイオメトリック認証ミドルウェアから受信して、デバイス情報要求をアイデンティティ認証検出器へ転送し、デバイス情報応答をアイデンティティ認証検出器から受信して、デバイス情報応答をバイオメトリック認証ミドルウェアへ転送し；ローカルバイオメトリック認証要求をバイオメトリック認証ミドルウェアから受信して、ローカルバイオメトリック認証要求の中のバイオメトリックデータを用いてユーザアイデンティティに対してバイオメトリック特徴検証を実行して、検証結果を含むローカルバイオメトリック認証応答をバイオメトリック認証ミドルウェアへ返信し；及び、登録情報応答パケットをバイオメトリック認証ミドルウェアから受信して、登録情報応答パケットをアイデンティティ認証検出器へ転送し、登録要求パケットをアイデンティティ認証検出器から受信して、登録要求パケットをバイオメトリック認証ミドルウェアへ転送するように構成される。
【０１２４】
アイデンティティ認証検出器は、バイオメトリック認証クライアントによって転送されるデバイス情報要求を受信した後、デバイスアイデンティティを含むユーザ側装置のデバイス情報を取得して、デバイス情報を含むデバイス情報応答をバイオメトリック認証クライアントへ返信するように構成される。バイオメトリック認証クライアントによって転送される登録情報応答パケットを受信した後、登録情報応答パケットの中のサーバ公開鍵を用いて登録情報応答パケットに対して署名検証を実行して、署名検証に成功した後、最新の成功したローカルバイオメトリック検証においてユーザが使用したバイオメトリックデータに対応するバイオメトリック特徴トークンを、トークン・キーマネージャから取得して、対応するサービス公開鍵とサービス秘密鍵とを生成し、仮想アカウントアイデンティティと、バイオメトリック認証タイプと、バイオメトリック認証トークンと、サービス秘密鍵との対応を保存して、デバイスアイデンティティ、仮想アカウントアイデンティティ、バイオメトリック認証タイプ、バイオメトリック特徴トークン、及びサービス公開鍵を登録要求パケットにカプセル化し、トークン・キーマネージャがユーザ側装置のデバイス秘密鍵を用いて登録要求パケットに署名した後、登録要求パケットをバイオメトリック認証クライアントへ返信する。
【０１２５】
トークン・キーマネージャは：最新の成功したローカルバイオメトリック検証の際にユーザが使用したバイオメトリックデータに対応するバイオメトリック特徴トークンを、アイデンティティ認証検出器に提供し；及び、登録要求パケットをアイデンティティ認証検出器から受信した後、ユーザ側装置の格納されたデバイス秘密鍵を用いて登録要求パケットに署名し、次いで登録要求パケットをアイデンティティ認証検出器へ返信するように構成される。
【０１２６】
任意選択で、登録情報応答パケットは、認証サーバによって生成される仮想アカウントの登録検証コードを更に含む。登録要求パケットを受信した後、認証サーバが、登録検証コードと、登録情報応答パケットの送信と登録要求パケットの受信との間の時間間隔とに基づいて登録要求パケットを検証するよう、登録要求パケットは登録検証コードを更に含む。
【０１２７】
任意選択で、アイデンティティ認証検出器及びトークン・キーマネージャは、ユーザ側装置の安全な環境で作動する。
【０１２８】
図１０は、本願の実施による、バイオメトリックアイデンティティを登録するデバイスを示す。デバイスは認証サーバに適用され、登録情報応答ユニット、登録要求受信ユニット、及び登録情報格納ユニットを含む。
【０１２９】
登録情報応答ユニットは：ユーザ側装置の登録情報要求パケットをサービスサーバから受信し、ここで、登録情報要求パケットは、サービスアカウントアイデンティティを含み、サービスアカウントアイデンティティに対応する仮想アカウントアイデンティティを生成して、仮想アカウントアイデンティティとサーバ公開鍵とを登録情報応答パケットにカプセル化し、サービスサーバが登録情報応答パケットをユーザ側装置へ転送するよう、サーバ公開鍵に対応するサーバ秘密鍵を用いて登録情報応答パケットに署名した後、登録情報応答パケットをサービスサーバへ送信するように構成される。
【０１３０】
登録要求受信ユニットは：ユーザ側装置の登録要求パケットをサービスサーバから受信して、ユーザ側装置のデバイス暗号化キーを用いて登録要求パケットに署名し、ここで、登録要求パケットは、ユーザ側装置のデバイスアイデンティティ、仮想アカウントアイデンティティ、バイオメトリック認証タイプ、バイオメトリック特徴トークン、及びサービス公開鍵を含み；及び、登録要求パケットをバイオメトリック認証センターサーバへ送信して、デバイスアイデンティティに対応するデバイス公開鍵を用いて登録要求パケットに対して署名検証を実行した後、バイオメトリック認証センターサーバによって返信される署名検証結果を受信するように構成される。
【０１３１】
登録情報格納ユニットは：アカウントに対してアイデンティティ認証を実行するため、登録要求パケットに対する署名検証に成功した後、デバイスアイデンティティと、仮想アカウントアイデンティティと、バイオメトリック認証タイプと、バイオメトリック特徴トークンと、サービス公開鍵との対応を保存するように構成される。
【０１３２】
任意選択で、デバイスは、仮想アカウントの登録検証コードを生成するように構成された登録検証コード生成ユニットを更に含む。登録情報応答パケットは、生成される登録検証コードを更に含む。登録要求パケットは、登録検証コードを更に含む。登録情報格納ユニットは：登録要求パケットの中の登録検証コードが登録要求パケットの中の仮想アカウント用に生成された登録検証コードと同じであり、登録情報応答パケットの送信と登録要求パケットの受信との間の時間間隔が第１の所定時間幅以内である場合、登録要求パケットに対する署名検証に成功した後、デバイスアイデンティティと、仮想アカウントアイデンティティと、バイオメトリック認証タイプと、バイオメトリック特徴トークンと、サービス公開鍵との対応を保存するように構成される。
【０１３３】
図９は、本願の実施による、バイオメトリックアイデンティティを認証するデバイスを示す。このデバイスはユーザ側装置に適用され、サービスクライアント、バイオメトリック認証ミドルウェア、バイオメトリック認証クライアント、アイデンティティ認証検出器、及びトークン・キーマネージャを含む。
【０１３４】
サービスクライアントは：デバイス情報要求をバイオメトリック認証ミドルウェアへ送信して、デバイスアイデンティティを含んでバイオメトリック認証ミドルウェアによって返信されるデバイス情報応答を受信し；デバイスアイデンティティを含む認証情報要求パケットをサービスサーバへ送信して、サービスサーバによって返信される認証情報応答パケットを受信するように構成され、ここで、認証情報応答パケットは、認証サーバによってサーバ秘密鍵を用いて署名され、次いでサービスサーバへ送信され、及び、サーバ秘密鍵に対応するサーバ公開鍵と、デバイスアイデンティティに対応し、サービスサーバによって転送される認証情報要求パケットを受信した後、認証サーバによって取得される仮想アカウントアイデンティティとを含む。登録の際にユーザによって使用されたバイオメトリック認証タイプのバイオメトリックデータを取得して、バイオメトリックデータを含むローカルバイオメトリック認証要求をバイオメトリック認証ミドルウェアへ送信し、ローカルバイオメトリック検証結果を含みバイオメトリック認証ミドルウェアによって返信されるローカルバイオメトリック認証応答を受信する。ローカルバイオメトリック特徴検証結果が成功である場合、認証情報応答パケットをバイオメトリック認証ミドルウェアへ送信して、バイオメトリック認証ミドルウェアによって返信される認証要求パケットを受信し、サービス秘密鍵を用いて認証要求パケットに署名し、ここで、認証要求パケットは、デバイスアイデンティティ、仮想アカウントアイデンティティ、バイオメトリック認証タイプ、及びバイオメトリック特徴トークンを含む。サービスサーバが認証要求パケットを認証サーバへ転送し、認証サーバが仮想アカウントアイデンティティ、デバイスアイデンティティ、及びバイオメトリック認証タイプに対応する登録されたサービス公開鍵と登録されたバイオメトリック特徴トークンに基づきユーザに対してアイデンティティ認証を実行するよう、認証要求パケットをサービスサーバへ送信する。
【０１３５】
バイオメトリック認証ミドルウェアは：デバイス情報要求をサービスクライアントから受信して、デバイス情報要求をバイオメトリック認証クライアントへ転送し、デバイス情報応答をバイオメトリック認証クライアントから受信して、デバイス情報応答をサービスクライアントへ転送し；ローカルバイオメトリック認証要求をサービスクライアントから受信して、ローカルバイオメトリック認証要求をバイオメトリック認証クライアントへ転送し、ローカルバイオメトリック認証応答をバイオメトリック認証クライアントから受信して、ローカルバイオメトリック認証応答をサービスクライアントへ転送し；及び、認証情報応答パケットをサービスクライアントから受信して、認証情報応答パケットをバイオメトリック認証クライアントへ転送し、認証要求パケットをバイオメトリック認証クライアントから受信して、認証要求パケットをサービスクライアントへ転送するように構成される。
【０１３６】
バイオメトリック認証クライアントは：デバイス情報要求をバイオメトリック認証ミドルウェアから受信して、デバイス情報要求をアイデンティティ認証検出器へ転送し、デバイス情報応答をアイデンティティ認証検出器から受信して、デバイス情報応答をバイオメトリック認証ミドルウェアへ転送し；ローカルバイオメトリック認証要求をバイオメトリック認証ミドルウェアから受信して、ローカルバイオメトリック認証要求の中のバイオメトリックデータを用いてユーザアイデンティティに対してバイオメトリック特徴検証を実行し、検証結果を含むローカルバイオメトリック認証応答をバイオメトリック認証ミドルウェアへ返信し；及び、認証情報応答パケットをバイオメトリック認証ミドルウェアから受信して、認証情報応答パケットをアイデンティティ認証検出器へ転送し、認証要求パケットをアイデンティティ認証検出器から受信して、認証要求パケットをバイオメトリック認証ミドルウェアへ転送するように構成される。
【０１３７】
アイデンティティ認証検出器は：デバイスアイデンティティを含むユーザ側装置のデバイス情報を取得して、バイオメトリック認証クライアントによって転送されるデバイス情報要求を受信した後、デバイス情報を含むデバイス情報応答をバイオメトリック認証クライアントへ返信し；バイオメトリック認証クライアントによって転送される認証情報応答パケットを受信した後、認証情報応答パケットの中のサーバ公開鍵を用いて認証情報応答パケットに対して署名検証を実行して、署名検証に成功した後、最新の成功したローカルバイオメトリック検証の際にユーザが使用したバイオメトリックデータに対応するバイオメトリック特徴トークンをトークン・キーマネージャから取得し、バイオメトリック認証タイプ、認証情報応答パケットの中の仮想アカウントアイデンティティ、及びバイオメトリック特徴トークンに対応するサービス秘密鍵を仮想アカウントアイデンティティと、バイオメトリック認証タイプと、バイオメトリック特徴トークンと、サービス秘密鍵との格納された対応から取得して、デバイスアイデンティティ、仮想アカウントアイデンティティ、バイオメトリック認証タイプ、及びバイオメトリック特徴トークンを認証要求パケットにカプセル化し、サービス秘密鍵を用いて認証要求パケットに署名した後、認証要求パケットをバイオメトリック認証クライアントへ返信するように構成される。
【０１３８】
トークン・キーマネージャは、最新の成功したローカルバイオメトリック検証の際にユーザが使用したバイオメトリックデータに対応するバイオメトリック特徴トークンを、アイデンティティ認証検出器に提供するように構成される。
【０１３９】
任意選択で、認証情報応答パケットは、認証サーバによって生成される仮想アカウントの認証検証コードを更に含む。認証要求パケットを受信した後、認証サーバが、認証検証コードと、認証情報応答パケットの送信と認証要求パケットの受信との間の時間間隔とに基づいて、認証要求パケットを検証するよう、認証要求パケットは、アイデンティティ認証検出器によってカプセル化された認証検証コードを更に含む。
【０１４０】
任意選択で、アイデンティティ認証検出器及びトークン・キーマネージャは、ユーザ側装置の安全な環境で作動する。
【０１４１】
図１１は、本願の実施による、バイオメトリックアイデンティティを認証するデバイスを示す。デバイスは認証サーバに適用され、認証情報応答ユニット、認証要求受信ユニット、及び署名検証・認証ユニットを含む。
【０１４２】
認証情報応答ユニットは：ユーザ側装置の認証情報要求パケットをサービスサーバから受信し、ここで、認証情報要求パケットは、ユーザ側装置のデバイスアイデンティティを含み、デバイスアイデンティティに対応する仮想アカウントアイデンティティを取得して、仮想アカウントアイデンティティとサーバ公開鍵とを認証情報応答パケットにカプセル化し、サービスサーバが認証情報応答パケットをユーザ側装置へ転送するよう、サーバ公開鍵に対応するサーバ秘密鍵を用いて認証情報応答パケットに署名した後、認証情報応答パケットをサービスサーバへ送信するように構成される。
【０１４３】
認証要求受信ユニットは：ユーザ側装置の認証要求パケットをサービスサーバから受信して、サービス公開鍵を用いて認証要求パケットに署名し、ここで、認証要求パケットは、ユーザ側装置のデバイス識別子、仮想アカウントアイデンティティ、バイオメトリック認証タイプ、及びバイオメトリック特徴トークンを含み；及び、認証要求パケットの中のデバイスアイデンティティ、仮想アカウントアイデンティティ、及びバイオメトリック認証タイプに対応する登録されたサービス公開鍵と登録されたバイオメトリック特徴トークンとを取得するように構成されている。
【０１４４】
署名検証・認証ユニットは、登録されたサービス公開鍵を用いて認証要求パケットに対して署名検証を実行して、認証要求パケットの中のバイオメトリック特徴トークンと、登録されたバイオメトリック特徴トークンとに基づいて、ユーザに対してアイデンティティ認証を実行するように構成される。
【０１４５】
任意選択で、デバイスは、仮想アカウントの認証検証コードを生成するように構成された認証検証コード生成ユニットを更に含む。認証情報応答パケットは、生成される認証検証コードを更に含む。認証要求パケットは、認証検証コードを更に含む。署名検証・認証ユニットは、認証要求パケットの中の認証検証コードが認証要求パケットの中の仮想アカウント用に生成された認証検証コードと同じであり、認証情報応答パケットの送信と、認証要求パケットの受信との間の時間間隔が第２の所定時間幅以内である場合、登録されたサービス公開鍵を用いて認証要求パケットに対して署名検証を実行して、認証要求パケットの中のバイオメトリック特徴トークンと、登録されたバイオメトリック特徴トークンとに基づいて、ユーザに対してアイデンティティ認証を実行するように構成される。
【０１４６】
前述の説明は、本願の単なる例示的な実施であり、本願を限定することを意図するものではない。本願の精神及び原理内においてなされたいかなる変更、均等物の置換、及び改良も、本願の保護範囲内に入るものとする。
【０１４７】
典型的な構成では、コンピューティングデバイスは、１つ又は複数のプロセッサ（ＣＰＵ）、入力／出力インターフェイス、ネットワークインターフェイス、及びメモリを含む。
【０１４８】
メモリは、例えば、読み出し専用メモリ（ＲＯＭ）又はフラッシュメモリ（フラッシュＲＡＭ）のようなコンピュータ可読媒体内にある、非永続記憶装置、ランダムアクセスメモリ（ＲＡＭ）、不揮発性メモリ、及び／又は他の形態を含む。メモリは、コンピュータ可読媒体の一例である。
【０１４９】
コンピュータ可読媒体は、任意の方法又は技術を使用することによって情報記憶を実施することができる永続性、非永続性、可動性及び非可動性の媒体を含む。情報は、コンピュータ可読命令、データ構造、プログラムモジュール、又は他のデータとすることができる。コンピュータ記憶媒体の例には、パラメータランダムアクセスメモリ（ＰＲＡＭ）、スタティックランダムアクセスメモリ（ＳＲＡＭ）、ダイナミックランダムアクセスメモリ（ＤＲＡＭ）、別のタイプのランダムアクセスメモリ（ＲＡＭ）、リードオンリーメモリ（ＲＯＭ）、電気的消去可能プログラマブルリードオンリーメモリ（ＥＥＰＲＯＭ）、フラッシュメモリ、又は他のメモリ技術、コンパクトディスクリードオンリーメモリ（ＣＤ‐ＲＯＭ）、デジタル多用途ディスク（ＤＶＤ）、又は他の光学記憶装置、カセット磁気テープ、テープ、テープ及びディスク記憶装置、又は他の磁気記憶デバイス、又はコンピューティングデバイスによってアクセス可能な情報を記憶するように構成され得る任意の他の非送信媒体を含むことができるが、これらに限定されない。本明細書の定義に基づいて、コンピュータ可読媒体は、一時的なコンピュータ可読媒体（transitory media）、例えば変調データ信号及び搬送波を含まない。
【０１５０】
本明細書において、用語「含む」「備える」又はそれらの任意の他の変形は、非排他的な包含をカバーすることを意図しており、要素の列挙を含むプロセス、方法、物品、又はデバイスは、それらの要素を含むだけでなく、明示的に列挙されていない他の要素も含むか、又はそのようなプロセス、方法、物品、又はデバイスに固有の要素を更に含むことに、更に注意することは価値がある。「を含む（includes a ...）」が付いている要素は、それ以上の制約がなければ、その要素を含むプロセス、方法、物品、又はデバイスに追加の同一要素が存在することを排除しない。
【０１５１】
当業者は、本願の実施が、方法、システム、又はコンピュータプログラム製品として提供され得ることを理解すべきである。したがって、本願は、ハードウェアのみの実施、ソフトウェアのみの実施、又はソフトウェアとハードウェアの組み合わせを有する実施の形態を用いることができる。更に、本願は、コンピュータ使用可能なプログラムコードを含む、１つ又は複数のコンピュータ使用可能な記憶媒体（磁気ディスク記憶装置、ＣＤ−ＲＯＭ、光学メモリなどを含むがこれに限定されない）上に実装されるコンピュータプログラム製品の形態を用いることができる。
【図１】
2019510444.tif 000003
【図２】
2019510444.tif 000004
【図３】
2019510444.tif 000005
【図４】
2019510444.tif 000006
【図５】
2019510444.tif 000007
【図６】
2019510444.tif 000008
【図７】
2019510444.tif 000009
【図８】
2019510444.tif 000010
【図９】
2019510444.tif 000011
【図１０】
2019510444.tif 000012
【図１１】
2019510444.tif 000013
【国際調査報告】
2019510444.tif 000014
2019510444.tif 000015
2019510444.tif 000016
2019510444.tif 000017